Tworzenie filtru do exim

[jburza 0]

Otrzymuje dużo spamu z adresów e-mail z znakiem _ np. Jan_nowak@nazwa.com czy Janusz_kowalski@blog.xyzxyz.jp

From: Tomasz Lewandowski <tomasz_lewandowski@zcoscos.com>

oraz linkiem w treści z powtarzalną budową .php?x=123 np.

http://domenkaxyz.com/cos.php?j=113&7=Fd9iTLjvxHyBvLyAzWfH&9ri=6z2&6ES4=TJ

Link zawsze jest na końcu treści maila.

 

wersja html

<a href="http://domenkaxyz.com/cos.php?j=113&7=Fd9iTLjvxHyBvLyAzWfH&9ri=6z2&6ES4=TJ">Chcesz zarobić? Śpiesz się!</a>

wersji tekstowej

[ http://domenkaxyz.com/cos.php?j=113&7=Fd9iTLjvxHyBvLyAzWfH&9ri=6z2&6ES4=TJ ] Chcesz zarobić? Śpiesz się!

Napisałem wyrażenia regularne

 

dla maila dwa warianty:

[a-z0-9_.-]+_[a-z0-9_.-]+@[a-z0-9_.-]+\.\w{2,4}

[a-zA-Z0-9_]+.[a-zA-Z0-9_]+\s<[a-z0-9_.-]+_[a-z0-9_.-]+@[a-z0-9_.-]+\.\w{2,4}>

dla linku trzy warianty:

http:\/\/[\d\w\-\.]+\.(\w){2,5}(\/\w+)?\/\w+\.php\?(\d|\w){1,10}=(\d|\w){1,10}[^&]

<a\shref="http:\/\/[\d\w\-\.]+\.(\w){2,5}(\/\w+)?\/\w+\.php\?(\d|\w){1,10}=(\d|\w){1,10}&+[a-zA-Z0-9_.-=&]+">[a-zA-Z0-9_.-=&?! ćĆĄąŚśŃńźŹŻżÓóŁłĘę]+<\/a>

\[\shttp:\/\/[\d\w\-\.]+\.(\w){2,5}(\/\w+)?\/\w+\.php\?(\d|\w){1,10}=(\d|\w){1,10}&+[a-zA-Z0-9_.-=&]+\s\]

i teraz stworzyłem filtr do exim:

if $header_from: matches "[a-zA-Z0-9_]+.[a-zA-Z0-9_]+\s<[a-z0-9_.-]+_[a-z0-9_.-]+@[a-z0-9_.-]+\.\w{2,4}>"
and $message_body: matches "<a\shref="http:\/\/[\d\w\-\.]+\.(\w){2,5}(\/\w+)?\/\w+\.php\?(\d|\w){1,10}=(\d|\w){1,10}&+[a-zA-Z0-9_.-=&]+">[a-zA-Z0-9_.-=&?! ćĆĄąŚśŃńźŹŻżÓóŁłĘę]+<\/a>"
then
seen finish
endif

Tworzyłem i testowałem kilkanaście wariantów filtrów (z contains zamiast matches, z dodaniem na końcu //$ czy z $message_body_end) ale niestety, żaden nie działa.

 

Wyrażenia regularne testowałem na regexstorm.net/tester i regexr.com

 

Byłbym bardzo wdzięczny za pomoc w wskazaniu błędu w filtrze.

 

 

 

Edytowano Lipiec 20, 2016 przez jburza (zobacz historię edycji)

[Fizyda 34]

Ja tam zamiast pisać wyrażenie regularne do każdego spamu użyłbym spamassassina, do tego amavis i clamav. Oczywiście warto też poprawnie skonfigurować restrykcje na samym serwerze bo już tam można wyciąć spam z fikcyjnych kont/domen.