URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID1
Нить номер: 89907
[ Назад ]

Исходное сообщение
"amavis режет лишнее"

Отправлено konstantin811 , 28-Сен-10 10:49 
Здравствуйте. Работает связка postfix+amavisd+spamassassin. Почему то amavis режет не зиповские архивы, если файлы, например, в таком формате: 20-07-2010-arh.zip

Где это настраивается. Нашёл секцию в конфиге амависа, которая похоже за это отвечает, но ни гугл ничего не дал при поисков каментов к этой строчке:

qr'\{[0-9a-f]{8}(-[0-9a-f]{4}){3}-[0-9a-f]{12}\}?'i, # Windows Class ID CLSID, strict

Вот весь мой конфиг:

use strict;

$QUARANTINEDIR = "/tmp/quarantin";

$log_recip_templ = undef;    # disable by-recipient level-0 log entries
$DO_SYSLOG = 1;              # log via syslogd (preferred)
$syslog_ident = 'amavis';    # syslog ident tag, prepended to all messages
$syslog_facility = 'mail';
$syslog_priority = 'debug';  # switch to info to drop debug output, etc

$enable_db = 1;              # enable use of BerkeleyDB/libdb (SNMP and nanny)
$enable_global_cache = 1;    # enable use of libdb-based cache if $enable_db=1

$inet_socket_bind = undef;
$inet_socket_port = [10024,998];   # default listenting socket


#$LOGFILE = "/var/log/amavis.log";
$log_level =2;

$sa_spam_subject_tag = '***SPAM*** ';
$sa_tag_level_deflt  = -999;  # уровень, после которого добавить в сообщение заголовки 'X-Spam-Status' и 'X-Spam-Level'
$sa_tag2_level_deflt = 2.5; # уровень, после которого добавить сообщение заголовок 'spam detected' - 'X-Spam-Flag: YES'.
$sa_kill_level_deflt = 6.2; # уровень, после которого блокировать сообщение, поместить в карантин и отправить уведомление о невозможности доставить почту
$sa_dsn_cutoff_level = 999.0;   # spam level beyond which a DSN is not sent
$sa_quarantine_cutoff_level = 30.0; #


$sa_mail_body_size_limit = 200*1024; # don't waste time on SA if mail is larger
$sa_local_tests_only = 0;    # only tests which do not require internet access?

$MAXLEVELS = 14;
$MAXFILES = 1500;
$MIN_EXPANSION_QUOTA =      100*1024;  # bytes
$MAX_EXPANSION_QUOTA = 300*1024*1024;  # bytes


$final_virus_destiny      = D_DISCARD;  # (data not lost, see virus quarantine)
$final_banned_destiny     = D_DISCARD;   # D_REJECT when front-end MTA
$final_spam_destiny       = D_DISCARD;
$final_bad_header_destiny = D_PASS;     # False-positive prone (for spam)

$virus_admin = "user\@$mydomain"; # due to D_DISCARD default

$mailfrom_notify_admin    = "virusalert\@$mydomain";
$mailfrom_notify_recip    = "virusalert\@$mydomain";
$mailfrom_notify_spamadmin = "spam.police\@$mydomain";


@storage_sql_dsn =
( ['DBI:mysql:database=amavis;host=127.0.0.1;port=3306','amavis','passwd']);
@storage_sql_dsn = @lookup_sql_dsn;


$X_HEADER_LINE = "Debian $myproduct_name at $mydomain";

$viruses_that_fake_sender_re = new_RE(
  qr'nimda|hybris|klez|bugbear|yaha|braid|sobig|fizzer|palyh|peido|holar'i,
  qr'tanatos|lentin|bridex|mimail|trojan.dropper|dumaru|parite|spaces'i,
  qr'dloader|galil|gibe|swen|netwatch|bics|sbrowse|sober|rox|val(hal)?la'i,
  qr'frethem|sircam|be?agle|tanx|mydoom|novarg|shimg|netsky|somefool|moodown'i,
  qr'@mm|@MM',    # mass mailing viruses as labeled by f-prot and uvscan
  qr'Worm'i,      # worms as labeled by ClamAV, Kaspersky, etc
  [qr'^(EICAR|Joke.|Junk.)'i         => 0],
  [qr'^(WM97|OF97|W95/CIH-|JS/Fort)'i  => 0],
  [qr/.*/ => 1],  # true by default  (remove or comment-out if undesired)
);


@keep_decoded_original_maps = (new_RE(
# qr'^MAIL$',   # retain full original message for virus checking (can be slow)
  qr'^MAIL-UNDECIPHERABLE$', # recheck full mail if it contains undecipherables
  qr'^(ASCII(?! cpio)|text|uuencoded|xxencoded|binhex)'i,
# qr'^Zip archive data',     # don't trust Archive::Zip
));


# for $banned_namepath_re, a new-style of banned table, see amavisd.conf-sample

$banned_filename_re = new_RE(
# qr'^UNDECIPHERABLE$',  # is or contains any undecipherable components

  # block certain double extensions anywhere in the base name
  qr'\.[^./]*\.(exe|vbs|pif|scr|bat|cmd|com|cpl|dll)\.?$'i,

  qr'\{[0-9a-f]{8}(-[0-9a-f]{4}){3}-[0-9a-f]{12}\}?'i, # Windows Class ID CLSID, strict

  qr'^application/x-msdownload$'i,                  # block these MIME types
  qr'^application/x-msdos-program$'i,
  qr'^application/hta$'i,

# qr'^application/x-msmetafile$'i,      # Windows Metafile MIME type
# qr'^\.wmf$',                          # Windows Metafile file(1) type

# qr'^message/partial$'i, qr'^message/external-body$'i, # rfc2046 MIME types

# [ qr'^\.(Z|gz|bz2)$'           => 0 ],  # allow any in Unix-compressed
# [ qr'^\.(rpm|cpio|tar)$'       => 0 ],  # allow any in Unix-type archives
# [ qr'^\.(zip|rar|arc|arj|zoo)$'=> 0 ],  # allow any within such archives

#  qr'.\.(exe|vbs|pif|scr|bat|cmd|com|cpl)$'i, # banned extension - basic
# qr'.\.(ade|adp|app|bas|bat|chm|cmd|com|cpl|crt|emf|exe|fxp|grp|hlp|hta|
#        inf|ins|isp|js|jse|lnk|mda|mdb|mde|mdw|mdt|mdz|msc|msi|msp|mst|
#        ops|pcd|pif|prg|reg|scr|sct|shb|shs|vb|vbe|vbs|
#        wmf|wsc|wsf|wsh)$'ix,  # banned ext - long

# qr'.\.(mim|b64|bhx|hqx|xxe|uu|uue)$'i,  # banned extension - WinZip vulnerab.

qr'^\.(exe-ms)$',                       # banned file(1) types
# qr'^\.(exe|lha|tnef|cab|dll)$',         # banned file(1) types
);
# See http://support.microsoft.com/default.aspx?scid=kb;EN-US;q262631
# and http://www.cknow.com/vtutor/vtextensions.htm


# ENVELOPE SENDER SOFT-WHITELISTING / SOFT-BLACKLISTING

@score_sender_maps = ({ # a by-recipient hash lookup table,
                        # results from all matching recipient tables are summed

# ## per-recipient personal tables  (NOTE: positive: black, negative: white)
# 'user1@example.com'  => [{'bla-mobile.press@example.com' => 10.0}],
# 'user3@example.com'  => [{'.ebay.com'                 => -3.0}],
# 'user4@example.com'  => [{'cleargreen@cleargreen.com' => -7.0,
#                           '.cleargreen.com'           => -5.0}],

  ## site-wide opinions about senders (the '.' matches any recipient)
  '.' => [  # the _first_ matching sender determines the score boost

   new_RE(  # regexp-type lookup table, just happens to be all soft-blacklist
    [qr'^(bulkmail|offers|cheapbenefits|earnmoney|foryou)@'i         => 5.0],
    [qr'^(greatcasino|investments|lose_weight_today|market\.alert)@'i=> 5.0],
    [qr'^(money2you|MyGreenCard|new\.tld\.registry|opt-out|opt-in)@'i=> 5.0],
    [qr'^(optin|saveonlsmoking2002k|specialoffer|specialoffers)@'i   => 5.0],
    [qr'^(stockalert|stopsnoring|wantsome|workathome|yesitsfree)@'i  => 5.0],
    [qr'^(your_friend|greatoffers)@'i                                => 5.0],
    [qr'^(inkjetplanet|marketopt|MakeMoney)\d*@'i                    => 5.0],
   ),

#  read_hash("/var/amavis/sender_scores_sitewide"),

   { # a hash-type lookup table (associative array)
     'nobody@cert.org'                        => -3.0,
     'cert-advisory@us-cert.gov'              => -3.0,
     'owner-alert@iss.net'                    => -3.0,
     'slashdot@slashdot.org'                  => -3.0,
     'securityfocus.com'                      => -3.0,
     'ntbugtraq@listserv.ntbugtraq.com'       => -3.0,
     'security-alerts@linuxsecurity.com'      => -3.0,
     'mailman-announce-admin@python.org'      => -3.0,
     'amavis-user-admin@lists.sourceforge.net'=> -3.0,
     'amavis-user-bounces@lists.sourceforge.net' => -3.0,
     'spamassassin.apache.org'                => -3.0,
     'notification-return@lists.sophos.com'   => -3.0,
     'owner-postfix-users@postfix.org'        => -3.0,
     'owner-postfix-announce@postfix.org'     => -3.0,
     'owner-sendmail-announce@lists.sendmail.org'   => -3.0,
     'sendmail-announce-request@lists.sendmail.org' => -3.0,
     'donotreply@sendmail.org'                => -3.0,
     'ca+envelope@sendmail.org'               => -3.0,
     'noreply@freshmeat.net'                  => -3.0,
     'owner-technews@postel.acm.org'          => -3.0,
     'ietf-123-owner@loki.ietf.org'           => -3.0,
     'cvs-commits-list-admin@gnome.org'       => -3.0,
     'rt-users-admin@lists.fsck.com'          => -3.0,
     'clp-request@comp.nus.edu.sg'            => -3.0,
     'surveys-errors@lists.nua.ie'            => -3.0,
     'emailnews@genomeweb.com'                => -5.0,
     'yahoo-dev-null@yahoo-inc.com'           => -3.0,
     'returns.groups.yahoo.com'               => -3.0,
     'clusternews@linuxnetworx.com'           => -3.0,
     lc('lvs-users-admin@LinuxVirtualServer.org')    => -3.0,
     lc('owner-textbreakingnews@CNNIMAIL12.CNN.COM') => -5.0,

     # soft-blacklisting (positive score)
     'sender@example.net'                     =>  3.0,
     '.example.net'                           =>  1.0,

   },
  ],  # end of site-wide tables
});

1;  # insure a defined return


Содержание

Сообщения в этом обсуждении
"amavis режет лишнее"
Отправлено koblin , 28-Сен-10 13:12 
Может архив банится из-за его содержимого?! Теоретически отправителю должно приходить письмо с объяснением причины блокировки.

"amavis режет лишнее"
Отправлено edd , 28-Сен-10 15:53 
>[оверквотинг удален]
> # qr'.\.(mim|b64|bhx|hqx|xxe|uu|uue)$'i,  # banned
> extension - WinZip vulnerab.
>  qr'^\.(exe-ms)$',          
>          
>  # banned file(1) types
> # qr'^\.(exe|lha|tnef|cab|dll)$',         # banned
> file(1) types
> );
> # See http://support.microsoft.com/default.aspx?scid=kb;EN-US;q262631
> # and http://www.cknow.com/vtutor/vtextensions.htm

Вот кусок конфига, который отвечает за блокировку определенных типов файлов. Как я вижу, у вас заблокированы файлы с двойным расширением, некоторые типы приложений по MIME, а так же exe.
Так вот, если у вас в архиве находиться какой-то файл попадающий под данные условия, то амавис его заблокирует


"amavis режет лишнее"
Отправлено konstantin811 , 29-Сен-10 15:25 
>[оверквотинг удален]
>> # qr'^\.(exe|lha|tnef|cab|dll)$',         # banned
>> file(1) types
>> );
>> # See http://support.microsoft.com/default.aspx?scid=kb;EN-US;q262631
>> # and http://www.cknow.com/vtutor/vtextensions.htm
> Вот кусок конфига, который отвечает за блокировку определенных типов файлов. Как я
> вижу, у вас заблокированы файлы с двойным расширением, некоторые типы приложений
> по MIME, а так же exe.
> Так вот, если у вас в архиве находиться какой-то файл попадающий под
> данные условия, то амавис его заблокирует

Спасибо. Вот только в упор не понимаю, как по этому куску, который Вы цитировали понятно, что у нас заблокированы файлы с двойным расширением и приложения по MIME?



"amavis режет лишнее"
Отправлено Hammer , 29-Сен-10 15:42 
>[оверквотинг удален]
>>> # See http://support.microsoft.com/default.aspx?scid=kb;EN-US;q262631
>>> # and http://www.cknow.com/vtutor/vtextensions.htm
>> Вот кусок конфига, который отвечает за блокировку определенных типов файлов. Как я
>> вижу, у вас заблокированы файлы с двойным расширением, некоторые типы приложений
>> по MIME, а так же exe.
>> Так вот, если у вас в архиве находиться какой-то файл попадающий под
>> данные условия, то амавис его заблокирует
> Спасибо. Вот только в упор не понимаю, как по этому куску, который
> Вы цитировали понятно, что у нас заблокированы файлы с двойным расширением
> и приложения по MIME?

# block certain double extensions anywhere in the base name
  qr'\.[^./]*\.(exe|vbs|pif|scr|bat|cmd|com|cpl|dll)\.?$'i,