Was mich aber noch immer brennend interessieren würde, wer setzt denn die Blacklist von UCE überhaupt ein???
Behörden bspw.
Ich denke damit können wir dieses Thema Ad Acta legen. Scam und ein Moneygrab.
naja wer mit behörden mailt leider eben nicht
Interessanter Artikel zu UCEPROTECT:
naja die frage ist ob besagte IPs die nicht senden können in Lv1 sind oder eher beifang via Lv2 und Lv3.
ich finde es jedenfalls sehr interessant wie sich halt beide kandidaten also netcup und UCE gegenseitig den schwarzen peter zuschieben.
UCE sagt ja dass man mit dem timing und so die bösen mails identifizieren kann, und netcup reitet primär auf der entfernungsgebühr rum.
ich denke Du solltest hier 'formell korrekt' definieren, denn lt. RFC ist das korrekt;
lies mal den satz danach. ich meine eben dass emails die nicht nur den zwingenden standards entsprechen, so am rand des machbaren, sondern eben auch in einer form abgesendet werden die nicht gerade den anschein bringt dass man vor hat müll zu bauen also eben bspw sich korrekt ausweisen, eben praktisch "höflich" sein hab vlt das wort formell falsch benutzt, da im englischen "formal" ja auch für höflich steht.
bzgl deines zweiten beispiels folge ich nicht ganz, der reject kommt weil du die ganze .com tld blockiert hast? (Sender address rejected: TLD (.com) blocked;)
dass da google helo sagt ist jetzt nicht vollkommen ungewöhnlich da es ncht nur Google Workspace sondern auch es als generelles feature in GMail die adressen anderer eigener E-Mail konten mitzunutzen, man kann auch das via SMTP korrekt machen, jedoch bietet google es auch an, es gleich direkt zu machen. ich bin nicht firm genug in Mail Logs um zu sagen ob in dem reject oben die die domain das HELO ist und die IP nachgeschlagen worde, oder die IP stimmt und die domain per Reverse Lookup kam oder beides so wie es ist da steht.
In Fact per DNS sieht man sofort dass hier google für E-Mails aktiv genutzt wird als MX und SPF. DMARC haben die gleich explizit ausgemacht.
rein anhand dieser daten würde ich noch keinen komplettblock machen, aber sicher je nach inhalt und sonstiger Daten in den Spam werfen.
Das eine blockade auf Absenderseite gegen blockierlisten hilft definitiv, ich meine eher dass der punkt wo du es um die header geht etwas von dem Thema der Blacklist etwas abschweift.
Mein problem ist halt dass diese blacklists mMn als viel zu heilig angesehen werden, und gerade eine komplette blockade aller mails einer IP insbesondere von einem Sharedhoster mMn recht overkill ist.
My1 habe soeben im Logfile meines Mailservers etwas interessantes gesichtet ...
CodeJan 29 14:02:02 vhost01 postfix/smtpd[459]: NOQUEUE: reject: EHLO from statistics-survey.cert.at[83.136.32.58]: 554 5.7.1 <mail.example.com>: Helo command rejected: Host not found; proto=SMTP helo=<mail.example.com>würdest Du das resultierende Mail tatsächlich - evtl. als SPAM markiert - in Deinem Postfach haben wollen?
(falls überhaupt ein Mail hier eingeworfen worden wäre, dass da einfach mal nach einem EHLO gleich ein QUIT gemacht wird, ist ja nicht ausgeschlossen)
ich wär der Meinung sowas sollte bereits bei der absendenden Stelle geblockt werden;
ich hab übrigens eine Art fail2ban am Laufen, sprich zu jede vollen 10 min werden die letzten 10 Minuten von /var/log/maillog ausgewertet, und dubiose Dinger per IP[6]tables blockiert;
in so nem fall ist die mail aber sowieso nicht formell korrekt. ich meine schon von generell korrekten emails also dass sich leute u.a. richtig ausweisen und so weiter.
und ja so etwas was definitiv nix werden kann kann mMn auch von der sendenden stelle geblockt werden. mMn sollte netcup zumindest bei den hostingsachen auch eine absenderauthentifizoerung machen die funktioniert, denn es kann mit emailadressen versendet werden die einem nicht gehören.
das hat mit der blockierliste eher wenig zutun.
dazu kommt die frage was ist als "postfach" definiert? alles, oder eher der Posteingang?
Gegenfrage: welches Problem hättest Du, wenn der Hoster die Mails welche er sinnvollerweise nicht annimmt (SPAM-Filter am Incoming-Mailrelay),
gleich im Vorfeld auch am SMTP-Server verweigert?
Naja spamfilter auf postfach ebene geben in der regel dem User die möglichkeit nochmal zu schauen ob nicht gerade legitime mail dabei ist.
mMn sollte eine direkte abweisung eher auf parametern wie SPF und DMARC passieren wie der besitzer der Adresse des Absenders extra schon sagt, "weist das ab".
es ist schon blöd wenn der chef sich über netcup aufregt weil keine rechnungen versandt werden können, für etwas wo wir nicht schuld sind.
Ja
Nein
dann sei doch bitte so nett und gib diese mal durch, gerade auf nem shared hoster, wo jeder jeden ruinieren kann.
dazu gibt es weiterhin das problem dass wenn eine website bspw eine newsletteranmeldung hat (bei der man eigentlich nur die mailadresse anfordern sollte), dass jeder absichtlich ne spamtrap festlegen kann und die opt-in mail ist dann etwas problematisch.
und heuristik zum erkennen von einmal oder wegwerfadressen unahängig davon dass diese auch legitime nutzer treffen kann, funktioniert halt auch dann schlecht wenn alte nicht mehr genutzte (und damit legitime) adressen auch als spamtraps genutzt werden.
aber unabhängig von der seriösität von UCE kann es so schwer sein zu schauen welche e-mails die Spamsache auslösen? man bekommen ja ne minute und die weisen mails die spam treffen mit fehlern ab.
oder aber wie bescheuert jemand sein muss, dass er es immer noch nicht schnallt, dass er sich seinen Quark von Newsletter sparen kann,
wenn er zu doof ist, seine Adressen-Liste sorgfältig zu pflegen;
naja man sieht spamtrap adresse ja nicht und dank der ganzen sache mit opt-in kann man ja davon ausgehen dass die person erstmal ne woche gesperrt ist dank der opt-in mail. hat nicht mal was mit pflegen zutun, da man spamtrap adressen sicher nicht einfach maschinell erkennen kann, wäre ja sonst ziemlich bescheuert.
auch cool wenn auf der kontaktseite bei UCE
http://www.uceprotect.net/de/index.php?m=8&s=0
ne spamtrap email steht die jemand wundervoll missbrauchen kann um andere auf die Liste zu schicken.
Jetzt soll jeder Australier mit einer Internetverbindung, der dadrüber eine Website anbietet, sich an deutsche Gesetze halten?
Und demnächst soll ich mich auch an das TMG von Timbuktu halten?
So funktioniert das Internet nurnmal nicht - und der Betreiber der Seite, ein Schweizer, muss jetzt nicht Gefahr laufen nach Deutschland ausgeliefert zu werden.
naja wenn man eine Seite erstellt die sich an Deutsche richtet, sollte man sich da an die regeln halten.
und der Urheber einer Seite kann auch Staatsbürger eines anderen Landes sein, und unterliegt somit NICHT Dt. Recht;
gabs da nicht irgendwie n rechtskonstrukt dass man sich an die gesetze des marktes halten muss in dem man agiert?
aber dass es jetzt seit 2 Tagen ein Lv3 gibt und es soweit ich sehen kann keine öffentliche Rückmeldung hier, sondern eher halt nur das übliche dass die nicht freikaufen als Antwort. (sorry for doppelpost, konnte nicht mehr den ersten post bearbeiten)
Wir haben in letzter zeit immer mal probleme mit Lv1 obwohl es bei uns nicht einmal Newsletter oder so gibt, vielleicht war jemand auf der gleichen webhosting IP aktiv oder so, und netcup hat uns immer gesagt dass der empfänger nicht UCE nutzen soll oder uns whitelisten oder so, wobei ich bezweifle dass das die Stadt einfach so machen würde.
naja nicht ganz, gerade da PHP ein zeitlimit hat und so kann man damit nicht eben so einen hintergrundprozess erstellen.
schaden anrichten kann man sicher aber weniger schaden ist besser
über den support ist auch irgendwie schade. vor allem wenn man es nur teilweise braucht, wäre eine mögliche bessere isolation der domains und wahlweise exec je nach domain exec oder nicht ziemlich nett.
exec und co waren mal abschaltbar, das wurde vor nicht allzu langer Zeit geändert. Das mit open_basedir ist wohl ttasächlich problematisch, aber eigentlich bei allen meinen Webhostings auch anderswo genauso oder eher noch schlechter geregelt. Also entweder gar nicht aktiv oder grundsätzlich auf den kompletten Webspace begrenzt. Wobei aktiviertes open_basedir nebenbei auch eine ordentliche Performance-Bremse ist.
naja aktiviert ist open_basedir ja sowieso.
ich müsste mal schauen wie es genau bei anderen war aber bspw bekomme ich bei i-mscp für jede angelegte domain/subdomain ne eigene ordnerstruktur im userhome und wahrscheinlich ist open_basedir dann wohl auf diese beschränkt. würde zumindest sinn machen, da man so daten außerhalb des docroot haben kann aber eben ohne dass diese gleich den ganzen webspace übernehmen können.
aber auch lol dass es nicht mehr abschaltbar ist, wie gesagt, mMn gehört sowas per default an und nur mit warnungen aus, dann würden zumindest einige dieser infektionen deutlich weniger schaden anrichten, da diese eben mit den limits von PHP laufen und eben nicht in ner ganzen shell
Bist du dir da sicher?
ich habe zwar etwas verdreht aber ja.
es steht nicht die Kundennummer sondern die hostingnummer dran.
mal abgeshehen von meinem Persönlichem Account administriere ich bei 2 weiteren und beide weisen dieses schema auf.
Doch selbst wenn, bedeutet das nicht, dass das auch die Adresse ist, die der Server für ausgehende Verbindungen benutzt
okay gutes argument.
was mich aber auch wundert ist warum einfach mal exec und co an und nicht abschaltbar ist? ich meine einfach mal binaries starten ist was was der durchnittsuser nicht braucht und erst recht kein wordpress, normal gehört exec und alles aus der kategorie per default aus und zugeschaltet wenn mans braucht.
was auch nett wäre wäre die open basedir methode so zu machen dass man extra ordner in seinem webspace spezifizieren kann die außerhalb des docroot sind und zugegriffen werden dürfen (wie bspw einen data ordner für eine nextcloud oder so) ohne dass man gleich zugriff auf den ganzen webspace geben muss (bessere isolierung der domains).
exec sollte normal eigentlich die allerletzte lösung für irgendwas sein.
Wäre wahrscheinlich auch technisch wesentlich aufwändiger herauszufinden aus welchem Ordner heraus die Attacken kommen
naja das steht ja direkt im log drin, der per mail.
Da ist dann halt die Quelladresse die vom Netcup Server
meine ich ja mit "von mir". bei IPv6 hat ja jeder kunde seine eigene und da steht ja die kundennummer dran.
und da ich scheinbar nicht bearbeiten kann hänge ich noch ne frage an:
wie kommt die IPv6 zustande die nicht von mir ist?
selbst ohne backup wäre es nicht SO schlimm, da es nur mein test-WP ist.
aber warum muss netcup immer gleich alles zumachen? mMn etwas extrem.
