🚀 go-pugleaf

christophe Raverdy wrote:

> Mon FSI intercepte pour moi une bonne cinquantaine de virus par
> jour.
> 
> Dans la mesure o� je fatigue, j'aurais aim� faire un script qui parcourt la
> notification � la recherche du deuxi�me received :

Pourquoi le deuxi�me? Le nombre de "received" est variable... vous 
parlez du deuxi�me "received" en partant du haut ou en partant du bas? 
Du haut je comprends �ventuellement, cela doit d�pendre de votre 
configuration, du bas je ne vois pas.

> Received: from xxxxxx.xx (unknown [81.185.96.62])
>         by xxxxx.xxxx.xx (Postfix) with SMTP id 78D4C45128;
>         Mon,  6 Dec 2004 22:59:56 +0100 (CET)
> 
> en extrait l'IP de la machine contamin�e : 81.185.96.62

Une fois que vous avez trouv� le received qui vous int�resse, je suppose 
qu'il est sage de chercher:

- soit une paire de parenth�ses contenant un chiffre qui indique le 
d�but de l'adresse comme ici:

Received: from 217.234.241.251  (HELO xejbbuu.de) (217.234.241.251)
   by mta139.mail.sc5.yahoo.com with SMTP; Sun, 05 Dec 2004 23:27:13 -0800

- soit un crochet ouvert "[" suivi d'un chiffre comme dans votre 
exemple. Ensuite pour extraire l'IP c'est fastoche.

> effectue un whois et soit envoie une notification si l'adresse est dans une
> plage r�f�renc�e soit me propose de mettre � jour la r�f�rence de plage
> (table externe) en fonction d'adresses e-mail propos�es par la table whois.

Pourquoi faire un whois pour savoir si l'adresse est dans une plage 
r�f�renc�e? C'est vous qui d�cidez quelle est cette plage je suppose, et 
lorsque vous connaissez l'IP vous pouvez v�rifier si elle se trouve dans 
cette plage sans passer par whois. Et pourquoi rechercher des adresses 
email?

> J'aurais aim� savoir si ce genre de script existe d�j� et si non quelles
> sont les lignes que je dois chercher en priorit� dans les informations
> retourn�es par une requ�te whois.

Alors l�...

[J'ai suivi la redirection mais je ne suis pas certain que l'on soit
vraiment le plus en th�me ici]


Frederic Bonroy a �crit:


>> Mon FSI intercepte pour moi une bonne cinquantaine de virus par
>> jour. Dans la mesure o� je fatigue, j'aurais aim� faire un script qui
>> parcourt la notification � la recherche du deuxi�me received :
> 
> Pourquoi le deuxi�me? Le nombre de "received" est variable... vous
> parlez du deuxi�me "received" en partant du haut ou en partant du bas?
> Du haut je comprends �ventuellement, cela doit d�pendre de votre
> configuration, du bas je ne vois pas.

Je m'int�resse au corps du message envoy� par mon FSI : Apr�s le message "en
clair", il y a les en-t�tes techniques :)

Il y a deux machines concern�es chez mon FSI.

La premi�re (branch�e sur l'ext�rieur) correspond � l'antivirus, il y a
ensuite une deuxi�me machine qui elle se charge de d�livrer les courriels. 

C'est la premi�re machine qui dans le received comporte l'adresse IP qui a
�tabli un contact SMTP. Ce qui correspond au deuxi�me received, seul
int�ressant, que j'avais inclus dans mon article.


> - soit un crochet ouvert "[" suivi d'un chiffre comme dans votre
> exemple. Ensuite pour extraire l'IP c'est fastoche.

Effectivement. Mon FSI pr�sente toujours sous cette derni�re forme.

>> effectue un whois et soit envoie une notification si l'adresse est dans
>> une plage r�f�renc�e soit me propose de mettre � jour la r�f�rence de
>> plage (table externe) en fonction d'adresses e-mail propos�es par la
>> table whois.
> 
> Pourquoi faire un whois pour savoir si l'adresse est dans une plage
> r�f�renc�e? C'est vous qui d�cidez quelle est cette plage je suppose, et
> lorsque vous connaissez l'IP vous pouvez v�rifier si elle se trouve dans
> cette plage sans passer par whois. Et pourquoi rechercher des adresses
> email?

2 int�r�ts : La plupart des virus proviennent de Free et Wanadoo. L'id�e est
d'envoyer une notification propre � chaque abuse avec dans un seul message
toutes les notifications qui le concernent. Eventuellement, faire des
statistiques sur les adresses IP afin de d�terminer si le FAI est r�actif
ou non.

Comme l'adresse de l'abuse peut varier (c'est une supposition) je pr�ferais
avoir une table associ�e qui pour un "identifiant" inetnum me donnerait
l'adresse e-mail kivabien


>> J'aurais aim� savoir si ce genre de script existe d�j� et si non quelles
>> sont les lignes que je dois chercher en priorit� dans les informations
>> retourn�es par une requ�te whois.
> 
> Alors l�...


L'id�e �tait que compte-tenu du fait des "irresponsables" ont acc�s � l'adsl
et qu'� premi�re vue les FAI se fichent de ce qui passe dans leurs tuyaux
tant qu'il ne s'agit pas de mp3, il y aura bien des gens fatigu�s de
recevoir des virus (ou notifications) ou de faire des recherches pour
pr�venir les FAI des personnes infect�es.

J'arrive d�j� par sript � invoquer whois et � r�cup�rer le r�sultat dans un
fichier, en me basant sur un programme comme usevote, je pense que je ne
devrais pas avoir trop de probl�mes � m'en sortir.

En tous cas ce sera mieux que les antivirus qui envoient une notification en
se basant sur le champ From.

-- 
christophe