info
Google Groups no longer supports new Usenet posts or subscriptions. Historical content remains viewable.
Dismiss
Rekordy MX. Dziura w DNS'ach czy jak to nazwać ?
17 views
Skip to first unread message
Dżon
Oct 17, 2020, 3:22:42 PM10/17/20
to
Witam,
Mam pytanie, opisuję sytuację:
1. Mam strefę DNS, powiedzmy domena.tld (to tld to tfuuu ! niebiesko mi
się kojarzy hehehe)
2. Robię sobie w strefie domeny wpisy MX np. MX1 microsoft.com MX2
gmail.com MX3 allegro.pl
Czy jest jakiś mechanizm weryfikacji wpisów MX, polegający na tym,
że jeżeli MX kieruje do innej domeny niż dana strefa, to strefa DNS
do której kieruje MX potwierdza, że owszem, MX domena.tld jest
obsługiwana u mnie ?
Coś na zasadzie revDNS ?
Czy ni chu chu nie ma czegoś takiego ?
Bo tak na dobrą sprawę, to jeżeli dobrze myślę, to mogę bezkarnie wpisać
sobie do swojej strefy MX z nazwą dowolnej domeny co jest niebezpieczne...
Mam pytanie, opisuję sytuację:
1. Mam strefę DNS, powiedzmy domena.tld (to tld to tfuuu ! niebiesko mi
się kojarzy hehehe)
2. Robię sobie w strefie domeny wpisy MX np. MX1 microsoft.com MX2
gmail.com MX3 allegro.pl
Czy jest jakiś mechanizm weryfikacji wpisów MX, polegający na tym,
że jeżeli MX kieruje do innej domeny niż dana strefa, to strefa DNS
do której kieruje MX potwierdza, że owszem, MX domena.tld jest
obsługiwana u mnie ?
Coś na zasadzie revDNS ?
Czy ni chu chu nie ma czegoś takiego ?
Bo tak na dobrą sprawę, to jeżeli dobrze myślę, to mogę bezkarnie wpisać
sobie do swojej strefy MX z nazwą dowolnej domeny co jest niebezpieczne...
Andrzej A. Filip
Oct 17, 2020, 3:38:42 PM10/17/20
to
Dżon <nie.podam.tu...@i.juz> pisze:
Nie ma mechanizmu weryfikacji wskazań rekordów MX na poziomie (rekordów) DNS.
Jak MX wskazuje na serwer SMTP to dopiero ten serwer SMTP odrzuca na
zasadzie że to nie jego domeny a do cudzych nie przekaże.
Notka historyczna: Dawno, dawno temu wszystkie serwery SMTP były open relay.
--
Andrzej A. Filip
Jak MX wskazuje na serwer SMTP to dopiero ten serwer SMTP odrzuca na
zasadzie że to nie jego domeny a do cudzych nie przekaże.
Notka historyczna: Dawno, dawno temu wszystkie serwery SMTP były open relay.
--
Andrzej A. Filip
Dżon
Oct 17, 2020, 5:19:28 PM10/17/20
to
W dniu 17.10.2020 o 21:38, Andrzej A. Filip pisze:
Dziękuję za odpowiedź, ale moje pytanie dotyczy faktu, że ktoś może
złośliwie czy z innego powodu korzystać w sumie z mojej nazwy domenowej
bez mojej wiedzy i nie mam na to żadnego wpływu.
Wyobraź sobie sytuację, że jakiś spamer będzie na tyle upierdliwy, że
dopisze sobie MX z nazwą mojej domeny do swojej strefy i będzie
napier..ł spamem aż miło. A ja będę dostawał tony zwrotek z tytułu
odbić i nie mam na to wpływu.
Czy nie powinno być wpisu w źródłowej domenie, coś na wzór revDNS,
potwierdzającego prawdziwość wpisu w obcej domenie ?
To jest wg mnie niedopatrzenie w idei MX :(
złośliwie czy z innego powodu korzystać w sumie z mojej nazwy domenowej
bez mojej wiedzy i nie mam na to żadnego wpływu.
Wyobraź sobie sytuację, że jakiś spamer będzie na tyle upierdliwy, że
dopisze sobie MX z nazwą mojej domeny do swojej strefy i będzie
napier..ł spamem aż miło. A ja będę dostawał tony zwrotek z tytułu
odbić i nie mam na to wpływu.
Czy nie powinno być wpisu w źródłowej domenie, coś na wzór revDNS,
potwierdzającego prawdziwość wpisu w obcej domenie ?
To jest wg mnie niedopatrzenie w idei MX :(
Andrzej A. Filip
Oct 17, 2020, 5:25:05 PM10/17/20
to
Dżon <nie.podam.tu...@i.juz> pisze:
Z praktyki wynika że jak się z tego zrobi naprawdę masowo upierdliwy
problem to system poczty oparty na SMTP dostanie kolejną łatkę.
Nie ma łatki => widać (jeszcze) da się znieść.
--
Andrzej A. Filip
problem to system poczty oparty na SMTP dostanie kolejną łatkę.
Nie ma łatki => widać (jeszcze) da się znieść.
--
Andrzej A. Filip
Dżon
Oct 17, 2020, 5:38:30 PM10/17/20
to
W dniu 17.10.2020 o 23:25, Andrzej A. Filip pisze:
Hmm, tylko problem może się zrobić w miarę szybko.
Przypadkiem odkryłem, że spamer siedzi na rekordzie A i z niego spamuje,
a MX ma bogaty jak ciotka z ameryki.
Toć to ewidentna dziura w weryfikacji nadawcy, a przy okazji
niekontrolowane zezwolenie na dysponowanie czyjąś domeną !
Przypadkiem odkryłem, że spamer siedzi na rekordzie A i z niego spamuje,
a MX ma bogaty jak ciotka z ameryki.
Toć to ewidentna dziura w weryfikacji nadawcy, a przy okazji
niekontrolowane zezwolenie na dysponowanie czyjąś domeną !
Olek
Oct 17, 2020, 6:27:42 PM10/17/20
to
On 17.10.2020 23:38, Dżon wrote:
>
> Hmm, tylko problem może się zrobić w miarę szybko.
> Przypadkiem odkryłem, że spamer siedzi na rekordzie A i z niego spamuje,
> a MX ma bogaty jak ciotka z ameryki.
To znaczy ile ma tych MXów? Miliony?
>
> Hmm, tylko problem może się zrobić w miarę szybko.
> Przypadkiem odkryłem, że spamer siedzi na rekordzie A i z niego spamuje,
> a MX ma bogaty jak ciotka z ameryki.
Wątpię, żeby dopisywał MX każdej domeny, pod którą się podszywa przy
wysyłaniu wiadomości.
> Toć to ewidentna dziura w weryfikacji nadawcy, a przy okazji
> niekontrolowane zezwolenie na dysponowanie czyjąś domeną !
przed podaniem fałszywego adresu nadawcy i otrzymywaniem zwrotki gdy
list zostanie cofnięty.
--
Olek
KIKI
Oct 17, 2020, 6:57:44 PM10/17/20
to
On 18.10.2020 00:27, Olek wrote:
> To znaczy ile ma tych MXów? Miliony?
> Wątpię, żeby dopisywał MX każdej domeny, pod którą się podszywa przy
> wysyłaniu wiadomości.
Ja nie wiem jak koledzy ale ja osobiście widziałem obce MX-y w DNS-ach
> To znaczy ile ma tych MXów? Miliony?
> Wątpię, żeby dopisywał MX każdej domeny, pod którą się podszywa przy
> wysyłaniu wiadomości.
domen, którym jakaś firma np. robiła stronę www i dawała hosting. I
jakimś dziwnym trafem cudze domeny były używane do spamowania,
prawdopodobnie bez wiedzy właścicieli.
Dopiero teraz zajarzyłem o co chodzi. Widywałem nie raz takie dziwne
nagłówki i długo się zastanawiałem co jest grane, a to wygląda na brak
zwrotnego zabezpieczenia, takiego PTR dla DNS po stronie obcego MX,
będącego poza domeną.
W sumie wpisać można sobie cokolwiek we własny DNS i zwrotki będą wracać
pod adresy tego cokolwiek.
>> Toć to ewidentna dziura w weryfikacji nadawcy, a przy okazji
>> niekontrolowane zezwolenie na dysponowanie czyjąś domeną !
>
> Miało być jak w tradycyjnej poczcie, a tam też nie ma zabezpieczenia
> przed podaniem fałszywego adresu nadawcy i otrzymywaniem zwrotki gdy
> list zostanie cofnięty.
Nikt tego nie zauważył wcześniej?
KIKI
Oct 17, 2020, 7:28:42 PM10/17/20
to
On 17.10.2020 23:25, Andrzej A. Filip wrote:
> Z praktyki wynika że jak się z tego zrobi naprawdę masowo upierdliwy
> problem to system poczty oparty na SMTP dostanie kolejną łatkę.
> Nie ma łatki => widać (jeszcze) da się znieść.
Wydaje mi się, że dotyczy to głównie usługodawców, którzy mają dostęp do
> Z praktyki wynika że jak się z tego zrobi naprawdę masowo upierdliwy
> problem to system poczty oparty na SMTP dostanie kolejną łatkę.
> Nie ma łatki => widać (jeszcze) da się znieść.
dużej ilości domen swoich klientów. Np małe firmy co robią strony
internetowe, SEO i od razu zakładają pocztę i konfigurują domenę. Chodzi
o to SEO głównie żeby małym kosztem reklamować jednych przy pomocy drugich.
Bez dostępu do domeny to nie działa. Trzeba mieć panel DNS-a.
Rasowi spamerzy raczej unikają podszywania się pod innych, oni raczej
używają wygrzanej infrastruktury, która jest pewna do czasu wykrycia.
Piotr Lechowicz
Oct 18, 2020, 12:26:50 PM10/18/20
to
W dniu 2020-10-17 o 23:18, Dżon pisze:
Rekord MX jest dla wskazania serwera odpowiedzialnego za doręczenie DO adresów z domeny.
Co uzyska spamer wysyłając spam sam do siebie (na adresy ze swojej domeny) przez obce serwery?
Przy prawidłowo skonfigurowanym MTA najwyżej formę DDOSa...
Twój serwer powinien odrzucać takie spamy od razu w sesji SMTP bez żadnych zwrotek (SMTP Error 551: User not local or invalid address – Relay denied)
> Czy nie powinno być wpisu w źródłowej domenie, coś na wzór revDNS,
> potwierdzającego prawdziwość wpisu w obcej domenie ?
> To jest wg mnie niedopatrzenie w idei MX :(
>
Stosuje się mechanizmy weryfikacji bazujące na DNS:
- SPF do weryfikacji "umocowania" do wysyłki z domeny - weryfikacja po stronie odbiorcy
- DKIM do oznaczania "legalności" wysyłki z domeny - oznaczania po stronie nadawcy
W obu przypadkach stosowanie tych mechanizmów jest całkowicie dobrowolne, a o ich skuteczności decyduje w dużej mierze skala implementacji.
Pzdr
> Wyobraź sobie sytuację, że jakiś spamer będzie na tyle upierdliwy, że
> dopisze sobie MX z nazwą mojej domeny do swojej strefy i będzie
> napier..ł spamem aż miło. A ja będę dostawał tony zwrotek z tytułu
> odbić i nie mam na to wpływu.
IMHO pomyliłeś funkcjonalności.
> dopisze sobie MX z nazwą mojej domeny do swojej strefy i będzie
> napier..ł spamem aż miło. A ja będę dostawał tony zwrotek z tytułu
> odbić i nie mam na to wpływu.
Rekord MX jest dla wskazania serwera odpowiedzialnego za doręczenie DO adresów z domeny.
Co uzyska spamer wysyłając spam sam do siebie (na adresy ze swojej domeny) przez obce serwery?
Przy prawidłowo skonfigurowanym MTA najwyżej formę DDOSa...
Twój serwer powinien odrzucać takie spamy od razu w sesji SMTP bez żadnych zwrotek (SMTP Error 551: User not local or invalid address – Relay denied)
> Czy nie powinno być wpisu w źródłowej domenie, coś na wzór revDNS,
> potwierdzającego prawdziwość wpisu w obcej domenie ?
> To jest wg mnie niedopatrzenie w idei MX :(
>
- SPF do weryfikacji "umocowania" do wysyłki z domeny - weryfikacja po stronie odbiorcy
- DKIM do oznaczania "legalności" wysyłki z domeny - oznaczania po stronie nadawcy
W obu przypadkach stosowanie tych mechanizmów jest całkowicie dobrowolne, a o ich skuteczności decyduje w dużej mierze skala implementacji.
Pzdr
KIKI
Oct 18, 2020, 6:37:44 PM10/18/20
to
On 18.10.2020 18:26, Piotr Lechowicz wrote:
> Co uzyska spamer wysyłając spam sam do siebie (na adresy ze swojej
> domeny) przez obce serwery?
> Przy prawidłowo skonfigurowanym MTA najwyżej formę DDOSa...
Właśnie chyba głównie o to chodzi, że wysyłając do jakiegoś MTA1 można
> Co uzyska spamer wysyłając spam sam do siebie (na adresy ze swojej
> domeny) przez obce serwery?
> Przy prawidłowo skonfigurowanym MTA najwyżej formę DDOSa...
go przekonać żeby zwrotki szły do MTA2.
Da się zaobserwować takie maile.
Lemat
Oct 19, 2020, 7:06:48 AM10/19/20
to
W dniu 19.10.2020 o 00:37, KIKI pisze:
zwrotki powinien generować serwer wysyłający (serwer spamera) a nie
odbierający.
kiepskie konfiguracje w których zwrotki wysyła serwer odbiorcy często
lądują na czarnych listach.
a czarne listy będą chronić serwer ofiary.
dodatkowo powiem, że na Cisco ESA (dawniej ironport) jest moduł
weryfikujący czy przychodząca zwrotka pasuje do wcześniej wysłanego emaila.
--
Pozdrawiam
Lemat
odbierający.
kiepskie konfiguracje w których zwrotki wysyła serwer odbiorcy często
lądują na czarnych listach.
a czarne listy będą chronić serwer ofiary.
dodatkowo powiem, że na Cisco ESA (dawniej ironport) jest moduł
weryfikujący czy przychodząca zwrotka pasuje do wcześniej wysłanego emaila.
--
Pozdrawiam
Lemat
Piotr Lechowicz
Oct 19, 2020, 3:32:09 PM10/19/20
to
W dniu 2020-10-19 o 00:37, KIKI pisze:
Ok, nie spojrzałem na to z punktu widzenia spamera, który może faktycznie nie chcieć ton zwrotek na swoim kombajnie...
Ale czy spam nie powinien być uwalany w sesji bez żadnych zwrotek?
Chyba, że spamerski MTA jest tak dziadowsko ustawiony, że samemu spamerowi naparza zwrotkami o jego odrzuconych mailach.
Ale wtedy rekordy MX nic do tego nie mają...
Bardziej chyba jednak to idzie w stronę DDOSa:
- MTA1 męczy MTA2 zwrotkami, które tego MTA2 nie dotyczą
- MTA2 zwrotki uwala, ale w zależności od czasu/natężenia może MTA1 uznać za brzydala i go zbanować
> Da się zaobserwować takie maile.
>
Z ciekawości: daj nagłowki jakiegoś przykładowego - który MTA je generuje?
Ale czy spam nie powinien być uwalany w sesji bez żadnych zwrotek?
Chyba, że spamerski MTA jest tak dziadowsko ustawiony, że samemu spamerowi naparza zwrotkami o jego odrzuconych mailach.
Ale wtedy rekordy MX nic do tego nie mają...
Bardziej chyba jednak to idzie w stronę DDOSa:
- MTA1 męczy MTA2 zwrotkami, które tego MTA2 nie dotyczą
- MTA2 zwrotki uwala, ale w zależności od czasu/natężenia może MTA1 uznać za brzydala i go zbanować
> Da się zaobserwować takie maile.
>
KIKI
Oct 19, 2020, 6:41:19 PM10/19/20
to
On 19.10.2020 21:32, Piotr Lechowicz wrote:
> Bardziej chyba jednak to idzie w stronę DDOSa:
> - MTA1 męczy MTA2 zwrotkami, które tego MTA2 nie dotyczą
> - MTA2 zwrotki uwala, ale w zależności od czasu/natężenia może MTA1
> uznać za brzydala i go zbanować
Właśnie o to mi chodzi.
> Bardziej chyba jednak to idzie w stronę DDOSa:
> - MTA1 męczy MTA2 zwrotkami, które tego MTA2 nie dotyczą
> - MTA2 zwrotki uwala, ale w zależności od czasu/natężenia może MTA1
> uznać za brzydala i go zbanować
>> Da się zaobserwować takie maile.
>>
>
> Z ciekawości: daj nagłowki jakiegoś przykładowego - który MTA je generuje?
zaglądałem co mają wpisane za rekordy txt, mx, później rekordy A tych
MX-ów i wyszło mi na to, że spamer miał wpisany cudzy MX, którego tam
być nie powinno. Nasz spamer rodzimy, SEO coś podobnego.
Do chwili aż nie przeczytałem tego posta nie zdawałem sobie sprawy z
tego co to było i maila skasowałem. Dopiero teraz się nad tym
zastanowiłem :-)
Anonymous
Oct 20, 2020, 10:52:30 AM10/20/20
to
wykorzystania nazwy dowolnej domeny bez wiedzy właściciela domeny i użycie
jej jako MX przez spamera ? I właściciel domeny nic na to nie może poradzić
? Dziwne ...
KIKI
Oct 20, 2020, 11:00:35 AM10/20/20
to
On 20.10.2020 16:52, Anonymous wrote:
> Z tego co przeczytałem , to problem dotyczy głównie możliwości
> wykorzystania nazwy dowolnej domeny bez wiedzy właściciela domeny i użycie
> jej jako MX przez spamera ? I właściciel domeny nic na to nie może poradzić
> ? Dziwne ...
Właśnie. To jeden z przykładów możliwości wykorzystania tego zjawiska.
> Z tego co przeczytałem , to problem dotyczy głównie możliwości
> wykorzystania nazwy dowolnej domeny bez wiedzy właściciela domeny i użycie
> jej jako MX przez spamera ? I właściciel domeny nic na to nie może poradzić
> ? Dziwne ...
0 new messages