HOME NEWS FORUM LINKS DOWNLOAD CONTACT

ログイン
ユーザ名:

パスワード:


パスワード紛失

新規登録
メインメニュー
フォーラム一覧   -   トピック一覧
   スパム対策、口コミ
     ルールの紹介		投稿するにはまず登録を

スレッド表示 | 新しいものから 前のトピック | 次のトピック | 下へ
投稿者 トピック
yoh
投稿日時: 2006-4-8 3:55
一人前
登録日: 2006-3-22
居住地: 東京都三鷹市
投稿: 106
SJIS_C (Re: ルールの紹介)
SJIS_C はシフトJISの本文を検出します。

body SJIS_C /(([\x81-\x9f\xe0-\xfc][\x40-\x7e\x80-\xfc])(?!([\xc0-\xdf][\x80-\xbf]|[\xe0-\xef][\x80-\xbf][\x80-\xbf]|[\xa1-\xfe][\xa1-\xfe]))){7,}/
describe SJIS_C SHIFT_JIS message body
score SJIS_C 2.0

本来なら専用のプラグインを作成するのが筋でしょうが、そういう実力はないので(泣)、正規表現で代替を試みました。
シフトJISのメイルは一応洩れなく検出する筈です。
但し、中国語のspamを誤認識したことがあります。
原因の追求にかなり手間が掛かるであろうことと、実害はないので、そのままにしてあります。
ご利用の際はこの点を留意願います。


----------------
松田 陽一(yoh)
mailto:yoh@flcl.org
http://www.flcl.org/~yoh/diary/
yoh
投稿日時: 2006-4-9 6:08
一人前
登録日: 2006-3-22
居住地: 東京都三鷹市
投稿: 106
INVALIDYAHOOJP (Re: ルールの紹介)
INVALIDYAHOOJP は、 yahoo.co.jp のメイルアドレスでありながら、 yahoo.co.jp の MTA を経由していないものを検出します。

header ___XAPPARENTLYFROM X-Apparently-From =~ /^<.+\@yahoo\.co\.jp>$/
header ___YAHOOJPRCVD1 X-Spam-Relays-Untrusted =~ / by=\w+\.mail.*\.yahoo\.co\.jp /
header ___YAHOOJPRCVD3 Received =~ /from .+ by web.+\.mail\..*yahoo\.co\.jp via HTTP/
header ___YAHOOJPFROM From =~ /.+\@yahoo\.co\.jp/

meta VALIDYAHOOJP ((___XAPPARENTLYFROM && ___YAHOOJPRCVD1) || ___YAHOOJPRCVD3) && ___YAHOOJPFROM
describe VALIDYAHOOJP This mail is valid yahoo.co.jp mail.
score VALIDYAHOOJP -0.1

meta INVALIDYAHOOJP ___YAHOOJPFROM && ! ((___XAPPARENTLYFROM && ___YAHOOJPRCVD1 ) || ___YAHOOJPRCVD3)
describe INVALIDYAHOOJP From: is ...@yahoo.co.jp but this mail didn't come from yahoo.co.jp
score INVALIDYAHOOJP 1.0

このようなメイルが全て spam とは限りません。
ですので、低いスコアを付しています。
しかし、多くの spam がこういうメイルアドレスを From: に付しているものが多く、 spam の蓋然性の一つだと思います。
このようなルールと他のルールと meta してスコアを上げることが、効果的です。

話はずれますが、今般ここにルールの紹介をしているのは、拙作 user_prefs の見直しをする意味もあります。
ほぼ毎日メンテナンスをしていますが、手間の殆どは ISP の IP アドレスの抜け等で、古いルールには殆ど目を通していないのが現状です。
昔は何も判らずに勢いだけでルールを書いていましたので(今も余り変わりませんが(汗))、古いルールには記載が稚拙だったり意味のないもの等が多く含まれています。
そういうルールは SA の実行時間を遅くするだけですので、定期的に見直しをしないといけないのですが、なかなか手が回らないものですから、こういうきっかけを通して少しずつやっていこうというのが狙いです。

今般、上記 INVALIDYAHOOJP をここに出すに当たり、明らかに無意味な周辺ルールを多く削除しました。


----------------
松田 陽一(yoh)
mailto:yoh@flcl.org
http://www.flcl.org/~yoh/diary/
yoh
投稿日時: 2006-4-9 6:32
一人前
登録日: 2006-3-22
居住地: 東京都三鷹市
投稿: 106
FUJITASPAM1 他 (Re: ルールの紹介)
私は spam フィルタリングが趣味です。
長くフィルタリングをやって来ますと、時々特徴的な spam というものに出喰わします。
特徴的な spam として挙げられるものの一つに「藤田知事 spam 」というものがあります。
以下のルールはこれを捕捉するものです。

body FUJITAYUZAN /F\#EDM\:\;3/
describe FUJITAYUZAN FUJITAYUZAN
score FUJITAYUZAN 0.5

body HIROSHIMAKENCHIJI /9\-Eg8\)CN\;v/
describe HIROSHIMAKENCHIJI HIROSHIMAKENCHIJI
score HIROSHIMAKENCHIJI 0.5

body NOMOTODENO /\$N85\$G\$N/
describe NOMOTODENO NOMOTODENO
score NOMOTODENO 0.1

body OSOROSHIIHANASHI /62\$m\$7\$\$OC/
describe OSOROSHIIHANASHI OSOROSHIIHANASHI
score OSOROSHIIHANASHI 0.1

body GYOUSEISOSHO /9T\@\/AJ\>Y/
describe GYOUSEISOSHO GYOUSEISOSHO
score GYOUSEISOSHO 0.1

body SOKURYOSHI /B\,NL\;N/
describe SOKURYOSHI SOKURYOSHI
score SOKURYOSHI 0.1

meta FUJITACHIJI FUJITAYUZAN && HIROSHIMAKENCHIJI
describe FUJITACHIJI FUJITAYUZAN && HIROSHIMAKENCHIJI
score FUJITACHIJI 1.0
meta CHIJINOMOTO HIROSHIMAKENCHIJI && NOMOTODENO
describe CHIJINOMOTO HIROSHIMAKENCHIJI && NOMOTODENO
score CHIJINOMOTO 1.0
meta MOTODEOSORO NOMOTODENO && OSOROSHIIHANASHI
describe MOTODEOSORO NOMOTODENO && OSOROSHIIHANASHI
score MOTODEOSORO 1.0
meta OSOROGYOUSEI OSOROSHIIHANASHI && GYOUSEISOSHO
describe OSOROGYOUSEI OSOROSHIIHANASHI && GYOUSEISOSHO
score OSOROGYOUSEI 1.0

meta FUJITASPAM1 FUJITACHIJI && CHIJINOMOTO && MOTODEOSORO
describe FUJITASPAM1 FUJITACHIJI && CHIJINOMOTO && MOTODEOSORO
score FUJITASPAM1 3.0
meta FUJITASPAM2 FUJITACHIJI && MOTODEOSORO && OSOROGYOUSEI
describe FUJITASPAM2 FUJITACHIJI && MOTODEOSORO && OSOROGYOUSEI
score FUJITASPAM2 3.0

「藤田知事 spam 」の特徴として、
(1) 忘れた頃に来る
(2) 毎回送信ルートが違う
(3) 毎回ヘッダの特徴が違う
(4) でも毎回文面はほぼ同じ
があります。
QSV系等とは異なり、特に(1)の為に厄介であります。
ですので、敢えて本文をピンスポット的に引っかけています。
こういうものがあるので、無闇に古いルールを削除できない、という事情があります。


----------------
松田 陽一(yoh)
mailto:yoh@flcl.org
http://www.flcl.org/~yoh/diary/
yoh
投稿日時: 2006-4-11 21:17
一人前
登録日: 2006-3-22
居住地: 東京都三鷹市
投稿: 106
THANKS_GOD_BLESS 他 (Re: ルールの紹介)
そろそろネタが尽きかけてきました。
まだネタはあるにはあるんですが、見直しもしている関係上、すぐに紹介できない、という訳です。

今回は英語圏spamの本文を引っかけるルールです。

body THANKS_GOD_BLESS  /^THANKS.+GOD.+BLESS/i
describe THANKS_GOD_BLESS  Thanks, GOD BLESS YOU
score THANKS_GOD_BLESS  2.0

meta RISK_THANKS RISK_FREE && THANKS_GOD_BLESS
score RISK_THANKS 3.5

body CONGRATULATIONS /(!+ )*CONGRATULATIONS{0,1}(!| !+)/i
describe CONGRATULATIONS !!!!! CONGRATULATIONS !!!!!
score CONGRATULATIONS 3.0

body LOTTERY /LOTTERY/i
describe LOTTERY talking about LOTTERY
score LOTTERY 0.1

meta CONGLAT_LOTTERY CONGRATULATIONS && LOTTERY
describe CONGLAT_LOTTERY CONGRATULATIONS && LOTTERY
score CONGLAT_LOTTERY 3.5

ちょっとスコアがキツ過ぎるかも知れませんが、その場合は meta の方のスコアを上げると良いでしょう。


----------------
松田 陽一(yoh)
mailto:yoh@flcl.org
http://www.flcl.org/~yoh/diary/
yoh
投稿日時: 2006-4-12 19:35
一人前
登録日: 2006-3-22
居住地: 東京都三鷹市
投稿: 106
JPSCAMPORNQSV (Re: ルールの紹介)
有名なQSV系と言われるspamを捕捉するルールです。

header ___JPSCAMPORNQSV1 X-Spam-Relays-Untrusted =~ /( rdns=(mail\.[\w-]+\.(com|net)) helo=\2 | ip=(\d+\.\d+\.\d+\.\d+) rdns=\4 helo=mail\.[\w-]+\.(com|net) | rdns= helo=mail\.[\w-]+\.(com|net) )/
header ___JPSCAMPORNQSV2 Return-Path =~ /info\@(mail\.){0,1}[\w-]+\.(com|net)/
header ___JPSCAMPORNQSV3 MESSAGEID =~ /^<2\d+\.\d+\.qmail\@mail\.[\w-]+\.(com|net)/

meta JPSCAMPORNQSV ___JPSCAMPORNQSV1 && ___JPSCAMPORNQSV2 && ___JPSCAMPORNQSV3
describe JPSCAMPORNQSV From info@mail.tekitou.com
score JPSCAMPORNQSV 2.5

今般、ここにアップするに当たり、見直しを行いました。
私の手元に来るQSV系spamには、メイルサーバの種類に応じて異なる仮想ヘッダが作成されます。それらを捕捉するルールをひとまとめにしてみました。
スコアがキツ過ぎると思われる際には、他のルールとの meta でスコアを上げると良いでしょう。

QSV系は必ずアジア方面から来ます。断言します。
恐らく送信拠点とする海外プロバイダを順次開拓して、プロバイダからアカウントを抹消されるまで送信し続けるのではないかと推測します。
ですので、拙作 user_prefs では、QSV系が来るプロバイダのIPアドレスを調べ、これとの meta ルールを付しています。


----------------
松田 陽一(yoh)
mailto:yoh@flcl.org
http://www.flcl.org/~yoh/diary/
yoh
投稿日時: 2006-4-17 3:49
一人前
登録日: 2006-3-22
居住地: 東京都三鷹市
投稿: 106
[重要] user_prefs 仕様変更のお知らせ (Re: ルールの紹介)
今まで、自分が利用しているメイルアカウントの MTA へ直接送信される spam を検出することが困難でした。
そこでこんなルールを書いていました。

header DIRECTYOURNET X-Spam-Relays-Untrusted =~ /(ip=((43\.244|220\.(150|215))(\.\d{1,3}){2}|(61\.203\.1(6\d|7[0-5])|61\.44\.(\d|[1-9]\d|1[01]\d|12[0-7])|61\.12\.(12[89]|1[3-9]\d|2[0-4]\d|25[0-5])|210\.143\.1(4[4-9]|5\d)|219\.112\.(\d|[1-9]\d|1[01]\d|12[0-7])|221\.113\.(6[4-9]|[7-9]\d|1[01]\d|12[0-7]))\.\d{1,3})|rdns=.+(fbb\.ReSET\.JP|ap\.yournet\.ne\.jp)) .+ by=(mail\.flcl\.org|[a-z0-9]+\.nifty\.((ne|co|ad)\.jp|com)|(alt|dns|mta|ybbmta)[0-9][0-9]\.mail\.((bbt|mci|tnz)\.){0,1}yahoo\.co\.jp|fm[1-6]\.freemail\.ne\.jp) ident= envfrom= intl=0 .+auth= /

しかし、自分が利用する MTA を直接ルールに書き込む、というのは余りにもダサいです。
SA にはこういう時のために Mail::SpamAssassin::Plugin::ReplaceTags というプラグインが用意されています。
…というのをつい先程知りました。(爆)

replace_start <
replace_end   >
replace_tag   MYMTA (mail\.flcl\.org|[a-z0-9]+\.nifty\.((ne|co|ad)\.jp|com)|(alt|dns|mta|ybbmta)\d\d\.mail\.((bbt|mci|tnz)\.){0,1}yahoo\.co\.jp|fm[1-6]\.freemail\.ne\.jp)
header DIRECTYOURNET X-Spam-Relays-Untrusted =~ /(ip=((43\.244|220\.(150|215))(\.\d{1,3}){2}|(61\.203\.1(6\d|7[0-5])|61\.44\.(\d|[1-9]\d|1[01]\d|12[0-7])|61\.12\.(12[89]|1[3-9]\d|2[0-4]\d|25[0-5])|210\.143\.1(4[4-9]|5\d)|219\.112\.(\d|[1-9]\d|1[01]\d|12[0-7])|221\.113\.(6[4-9]|[7-9]\d|1[01]\d|12[0-7]))\.\d{1,3})|rdns=.+(fbb\.ReSET\.JP|ap\.yournet\.ne\.jp)) .+ by=<MYMTA> ident= envfrom= intl=0 .+auth= /
replace_rules DIRECTYOURNET DIRECTINTERSPIN DIRECTDION DIRECTODN DIRECTINFOSPHERE DIRECTSONETDYN DIRECTOCNDYN DIRECTVECTANTDYN DIRECTHI_HO DIRECTUSENBROAD DIRECTBBTEC DIRECTINFOWEB DIRECTDTI DIRECTBIGLOBE DIRECTALPHANET DIRECTUNETSURF DIRECTEDITNET DIRECTDSNETWORKS DIRECTGERAGERA DIRECTVOICETOWN DIRECTSAKURAWEB DIRECTHYPERBOX DIRECTGMOACCESS DIRECTIIJ4U DIRECTASAHINET DIRECTVIPLT DIRECTSST_BB DIRECTTCOMADSL DIRECTXEXONNET DIRECTBBEXCITE DIRECTITSCOM DIRECTSAINET_NET DIRECTDORPHIN DIRECTWILLCOM DIRECTINTERLINK DIRECTLINKCLUB DIRECTPLALA DIRECTUNKNOWN

拙作 user_prefs はつい先程書き換えました。
拙作 user_prefs をそのまま利用している方は、 ~/.spamassassin/private_prefs に、ご自分が利用するプロバイダの MTA を記入して下さい。
良く判らない場合は、自分宛に来たメイルを SA に通して、 X-Spam-Relays-Untrusted ヘッダを見て下さい。 "by=" 以下に自分が利用する MTA が記述されています。

$ f=~/spam/spam/36643;spamassassin -d $f|spamassassin -t -D 2>&1|lv;unset f

なお、この "DIRECT..." ルールを利用する際には、 trusted_networks を正しく設定する必要があります。
trusted_networks はそうでなくとも正しく設定しないと色々不都合を起こすようですので、ご自身が利用する MTA やメイリングリスト等の IP アドレスをしっかり記入して下さい。

trusted_networks 127.0.0.1/8 192.168.0.1/16 10.0.0.1/8 172.16.0.1/12 210.150.184.16/29 202.93.83.109 202.93.83.110/31 202.93.83.112 202.93.85.135 202.93.85.136/31 202.93.85.138 219.100.31.229 202.248.238.70 64.233.162.192/28 61.215.208.41 210.157.158.35 210.157.158.37 210.171.226.47 211.10.155.25


----------------
松田 陽一(yoh)
mailto:yoh@flcl.org
http://www.flcl.org/~yoh/diary/
yoh
投稿日時: 2006-4-19 20:43
一人前
登録日: 2006-3-22
居住地: 東京都三鷹市
投稿: 106
PASTIMG 他 (Re: ルールの紹介)
これまで自分が作ったルールを眺めて、ここに上げられるものはないか思案しているのですが、まだいまいち練られてないルールが多々あります。すいません(__)
日本語 spam についてはもう大体問題ない程度に収束していると思うのですが、英語圏 spam が厄介です。
多くがゾンビ PC から発される為に ISP が特定できず、本文は不定型な物が多く、なかなかスコアを上げられません。
幾つか典型的な spam を拾ってルールを作成しても、すぐにフォーマットが変わってしまう。
まさにいたちごっこです。
UKGEOCITIES CHINAUKGEO CHINANETUKGEO UKGEOFORMAT UKGEOFORMAT2 UKGEOFORMAT3 辺りは練り直す必要があります。
BASE64TXT60 は最近 spammer が感付いたのか、ぱたっと来なくなりました。

今回は英語圏 spam のルールのうち、比較的無難かと思うルールを紹介します。
今思い返すと何故こんなルールを作ったのか記憶にないのですが、多分スコアの嵩上げをしないとならない状況に追い込まれたんじゃないかと想像します。

meta ___HTMLIMG HTML_IMAGE_ONLY_04 || HTML_IMAGE_ONLY_08 || HTML_IMAGE_ONLY_12 || HTML_IMAGE_ONLY_16 || HTML_IMAGE_ONLY_20 || HTML_IMAGE_ONLY_24 || HTML_IMAGE_ONLY_28 || HTML_IMAGE_ONLY_32 || HTML_IMAGE_RATIO_02

meta PASTIMG DATE_IN_PAST_06_12 && ___HTMLIMG && BAYES_99
score PASTIMG 5.0

meta HTMLIMG_FRGDHELO (FORGED_RCVD_HELO || RCVD_NUMERIC_HELO || RCVD_NUMERIC_HELO2)&& ___HTMLIMG && BAYES_99
describe HTMLIMG_FRGDHELO FORGED_RCVD_HELO && HTML_IMAGE_ONLY_??
score HTMLIMG_FRGDHELO 5.5

ただ、 HTMLIMG_FRGDHELO はもうちょっと練り直す必要があるように思います。
@nifty から一つも来ていないからです。


----------------
松田 陽一(yoh)
mailto:yoh@flcl.org
http://www.flcl.org/~yoh/diary/
math
投稿日時: 2006-4-22 9:49
新米
登録日: 2006-4-22
居住地: 愛知県
投稿: 1
Re: ルールの紹介
いつも御世話になってます。ルールの切り売りどころか、わたしはまるまる利用しています。本当に助かってますよ。私のしていることは、貴殿のルールに多少の追加(アダルト関係の言葉やスコアーの変更など)をしているだけです。おかげでスパムのほとんどを弾いてくれてます。
yoh
投稿日時: 2006-4-22 19:25
一人前
登録日: 2006-3-22
居住地: 東京都三鷹市
投稿: 106
(再)[重要] user_prefs 仕様変更について (Re: ルールの紹介)
mathさん:
ご利用有難うございます。

> 私のしていることは、貴殿のルールに多少の追加(アダルト関係の言葉やスコアーの変更など)をしているだけです。

でありますれば、以下のことにご留意下さい。

(1) http://tlec.linux.or.jp/docs/user_prefs はアンテナ等でチェックして下さい。私は普段暇を見付けてはバグフィクスしています。 tlec のサーバは1時間毎に更新しています。 web アンテナ等でチェックして頂けると良いかと思います。
(2) 先日記しましたが、 ~/.spamassassin/private_prefs を作成して、正しく設定して下さい。サンプルを http://tlec.linux.or.jp/docs/private_prefs に上げてあります。

"DIRECT..." で始まるルールは、ISPの動的IPから直接受信MTAへ送信されるspamを検出するためのルールです。
これらのルールは "DYN_..." で始まる meta ルールにて、NGワードのスコアを嵩上げするために使っています。
NGワード単体のスコアを上げることは、通常のメイル(ham)にも悪影響を及ぼすので限界があります。
そこで、送信経路がspamの蓋然性が高いものについてはNGワードのスコアを上げるように工夫しています。

"DIRECT..." で始まるルールを正しく機能させるために、 ~/.spamassassin/private_prefs 中の trusted_networks と MYMTA の設定が必要になります。


----------------
松田 陽一(yoh)
mailto:yoh@flcl.org
http://www.flcl.org/~yoh/diary/
yoh
投稿日時: 2006-4-27 19:43
一人前
登録日: 2006-3-22
居住地: 東京都三鷹市
投稿: 106
OBFUSCATING_FLOAT 他 (Re: ルールの紹介)
恐らく、これから紹介するルールはホンの一時的なもので、近日中に使えなくなると思いますが、今の処そこそこヒットしているので、紹介します。

rawbody ___OBFUSCATING_FLOAT0 /<span style=\"border: 0px\; float/
rawbody ___OBFUSCATING_FLOAT1 /^: right\"> \w <\/span>/
meta OBFUSCATING_FLOAT ___OBFUSCATING_FLOAT0 && ___OBFUSCATING_FLOAT1 
describe OBFUSCATING_FLOAT <span style="border: 0px; float: right"> d </span>
score OBFUSCATING_FLOAT 1.5

rawbody FLOATGEOCITIES /^<A href=\"http:\/\/geocities\.com\/\w+\/\">\w+<span style=\"border: 0px\; float/
describe FLOATGEOCITIES <A href="http://geocities.com/GabicRectohoate/">V<span style="border: 0px; float
score FLOATGEOCITIES 2.0

rawbody FLOAT_A_HREF /^<A href=\"http:\/\/(www\.){0,1}\w+\.(com|net)">\w+<span style=\"border: 0px\; float/
describe FLOAT_A_HREF <A href="http://www.h75h.net">Vi<span style="border: 0px; float
score FLOAT_A_HREF 2.0

meta MULTIFLOAT99 MULTIPART_ALTERNATIVE && OBFUSCATING_FLOAT && BAYES_99
score MULTIFLOAT99 3.5

meta OBFUSGEOFLOAT OBFUSCATING_FLOAT && (FLOATGEOCITIES || FLOAT_A_HREF)
score OBFUSGEOFLOAT 3.5

最近、 span タグ中の埋め込み css で float を使っている英語 spam をちょくちょく見かけるようになりました。
恐らく bayes フィルタ対策で、単語の認識を回避しているものと推測します。
更に、 span タグが行を跨っているので、 rawbody で一行のルールでは追随できません。
仕方なく複数ルールを書くこととなりました。

float タグを使っている spam は他にもあるのですが、そっちはまだ手元に来ている数が少ないのと、既に高スコアなので放っておいてあります。

この手の spam を見る度に思うのは、「 body / rawbody が複数行マッチングをサポートしてくれたらなぁ…(ため息)」です。
header は複数行マッチングをサポートできているだけに、何とかして欲しいです。


----------------
松田 陽一(yoh)
mailto:yoh@flcl.org
http://www.flcl.org/~yoh/diary/
« 1 (2) 3 4 5 »
スレッド表示 | 新しいものから 前のトピック | 次のトピック | トップ

投稿するにはまず登録を