Tophost

[lgnet]

Tophost nella mail inviata agli utenti scrive:

 [..]*** A causa dei soliti script bucati e mal programmati, ci sono malintenzionati che riescono a mettere in coda di spedizione "milioni" di mail di spam. Proprio ieri c'e' stato un caso del genere e ci siamo trovati con 2.000.000 di mail in uscita da uno dei nostri server. Stiamo pensando seriamente di togliere o limitare pesantemente l'istruzione mail() del PHP. Ti incoraggiamo ad aggiornare e a blindare tutti i tuoi script che inviano mail, perche' non vorremmo arrivare al punto di limitare questa "feature". [..]

Sono d'accordo con voi che un problema c'è , ma risolverlo in maniera drastica danneggiando i clienti che vi hanno dato fiducia, consigliando magari i vostri servizi ad altri è la cosa peggiore che potreste fare.

I mezzi per sapere da dove provengono quelle mail di spam li avete, utilizzateli e bloccate chi li causa, ovviamente avvertendoli prima, perchè potrebbe essere che non sappiano che la causa è proprio un loro script.

Limitarne l'uso potrebbe servire, ma in che modo? Limitando l'utilizzo ad un tot al giorno?

Pensateci molto bene perchè credo che in pochi gradiranno decisioni così drastiche.

[Tophost]

Di solito preferiamo lasciare la piu' ampia liberta' d'azione a tutti i clienti.

Questo e' il motivo che ci ha spinto a studiare un QoS evoluto e un Mysql shaping mirato, piuttosto che stilare un elenco di script non permessi e via dicendo.

Sempre per questo motivo abbiamo abbattuto il limite dei 2GB di traffico mensile a fronte di un nuovo sistema di controllo delle risorse, che permette di avere un traffico non limitato.

Anche per quanto riguarda l'istruzione mail() di PHP, non vogliamo creare allarmismi e non vogliamo essere drastici, ma se le cose continueranno ad andare in questa direzione dovremo trovare il modo per contenere i danni e per mettere i paletti a questo comando.

Vi immaginate cosa succede quando uno spammatore buca uno script il venerdi' sera alle 22.00 e mette in coda due milioni di mail? Succede che se voi spedite una mail il sabato mattina questa si mette dietro ai 2.000.000 di mail dello spammatore. Non e' un disagio questo?

Abbiamo mandato l'apposita newsletter proprio per chiedere la collaborazione di voi tutti.

Buona serata.

[lgnet]

Cosa che apprezzo, ma credo che chi usa lo scrot bacato, non sa che è bacato, quindi è utile che voi avvisiate chi li utilizza.

Ed io sono il primo ad offire la mia collaborazione, ma sinceramente un primo tentativo di comunicarmi la mia contrarietà lo avevo fatto qualche mese fa in privato.

E non conosco altri hosting che bloccano o limitamo l'uso di tale funzione.

[Tophost]

Cosa che apprezzo, ma credo che chi usa lo scrot bacato, non sa che è bacato, quindi è utile che voi avvisiate chi li utilizza.

Ed io sono il primo ad offire la mia collaborazione, ma sinceramente un primo tentativo di comunicarmi la mia contrarietà lo avevo fatto qualche mese fa in privato.

Lo facciamo sempre l'avviso personalizzato e sempre provvediamo a bloccare i milioni di mail in uscita dal server.

La cosa sta diventando veramente endemica e quindi siamo ricorsi ad un avviso generalizzato cosi' per portare a conoscenza di tutti dell'esistenza del problema e di cosa si puo' fare per contenerlo.

E non conosco altri hosting che bloccano o limitamo l'uso di tale funzione.

Le assicuro che non siamo i primi ed eventualmente non saremo nemmeno gli ultimi a pensare di prendere provvedimenti limitativi con l'istruzione mail().

Per ora comunque non c'e' ancora nulla di limitato, non vogliamo creare inutili allarmismi, ma solo parlare in modo franco del problema ed invitare tutti a collaborare.

[effe8]

Bel thread gia' da subito animato con botte e risposte, non c'è che dire.

Lo sposto nell'area dedicata a Tophost.

Ciao ciao.

[lgnet]

Cosa che apprezzo, ma credo che chi usa lo scrot bacato, non sa che è bacato, quindi è utile che voi avvisiate chi li utilizza.

Ed io sono il primo ad offire la mia collaborazione, ma sinceramente un primo tentativo di comunicarmi la mia contrarietà lo avevo fatto qualche mese fa in privato.

Lo facciamo sempre l'avviso personalizzato e sempre provvediamo a bloccare i milioni di mail in uscita dal server.

La cosa sta diventando veramente endemica e quindi siamo ricorsi ad un avviso generalizzato cosi' per portare a conoscenza di tutti dell'esistenza del problema e di cosa si puo' fare per contenerlo.

E non conosco altri hosting che bloccano o limitamo l'uso di tale funzione.

Le assicuro che non siamo i primi ed eventualmente non saremo nemmeno gli ultimi a pensare di prendere provvedimenti limitativi con l'istruzione mail().

Per ora comunque non c'e' ancora nulla di limitato, non vogliamo creare inutili allarmismi, ma solo parlare in modo franco del problema ed invitare tutti a collaborare.

Lo so bene che provvedete sempre a bloccare i milioni di mail in uscita, è solo che sinceramente la notizia mi ha spiazzato.

Lo so che visto il prezzo dei vostri servizi, offrite anche troppo, ma vi chiedo di renderci partecipi su un eventuale decisione definitiva.

Dal mio primo post era chiaro poi che attualemte non c'e' alcuna limitazione per la funzione mail.

 

[lgnet]

Io apprezzo la vostra franchezza, Tophost ha tutte le carte in regola per essere una piccola ( vi auguro grande ) comunità ,le vostre mail sono si professionali, ma si vede che ci tenete ai vostri clienti e ci tenete alla loro collaborazione.
Giustissimo, ma visto che siamo ancora in tempo, perchè non fare un piccolo sondaggio sull'argomento mail, magari a settembre, vediamo cosa ne pensano i clienti sulle eventuali soluzioni possibili, e poi prenderete la vostra decisione, che speriamo metta daccordo tutti.

[doGmaI]

Io ho letto solo ora la newsletter (lo ammetto ero in giro a cazzeggiare)

Ovviamente mi spiacerebbe molto vedere limitata la funzione mail

Sarebbe, secondo me, una bella cosa se
1. si pubblicasse e si tenesse il più aggiornato possibile un listone di script bacati (magari in duplice copia, qui sul forum e sul sito di tophost, e perchè no anche tramite RSS

2. si provasse qui, in questa discussione o in una creata appositamente, ad indicare pezzi di codice o strategie per utilizzare in maniera sicura la funzione mail

Al momento non ho sottomano codice che ho scritto, ma voglio contribuire alla mia stessa idea con qualche "nota" per chi decidesse di crearsi uno script fatto in caso che sfrutti la funzione mail

1
quando si crea un form per la spedizione di email tramite l'uso della funzione mail è sempre bene limitare il più possibile il campo to. vale a dire che se create un form per la spedizione agli iscritti al vostro sito (come ho fatto io) non ha senso lasciar immettere all'utente l'indirizzo del destinatario, perchè questo potrebbe inserire molti indirizzi separati da virgole e spedire un botto di email. Meglio creare una SELECT con l'elenco degli iscritti da cui l'utente può selezionare il destinatario.
SVANTAGGIO: a parte meccanismi un po' complessi si può spedire una mail sola per volta.
VANTAGGIO: le mail vengono spedite solo ad indirizzi certificati; si può spedire una sola mail per volta
NOTA: uno spammer potrebbe cmq inviare mail a tutti gli iscritti ma cmq una per volta e niente mass mailing

2
usate un sistema che impedisca ai bot degli spammer di navigare sulle vostre pagine. Ad esempio usate le famose scritte strane che si vedono nelle pagine delle registrazioni. Potete trovare un thread già aperto qui. L'utilizzo è davvero molto semplice e non appesantisce di molto la mail
Appena ho tempo posto un esempio di utilizzo completo
SVANTAGGIO: richiede la digitazione di un codice in più all'atto della spedizione di una mail
VANTAGGIO: al momento nessun bot è in grado di decifrare l'immagine creata e pertanto il submit del form non va a buon fine.

3
Richiudete, nei limiti del possibile, le pagine che sfruttano la funzione mail in zone riservate del sito. Ad esempio nel mio caso c'è un servizio di messaggi sul sito. Però a questo servizio possono accedere solo utenti registrati e che hanno eseguito il login e comunque è presente lo stesso l'immagine sgarrupata col codice (uno spammer potrebbe registrarsi e poi lanciare un bot una volta che ha fatto login che manda mille mila mail). Nasce il problema del classico form di informazioni o di segnalazioni di errore. Se un utente non è registrato o non riesce a fare login come manda una mail al webmaster? Personalmente ho creato una pagina apposita in cui il form da compilare non prevede il campo TO. Quando l'utente fa submit vado a pescare dal db l'indirizzo email del webmaster

4
tenete un log degli IP che mandano email tramite il vostro sito, specie di quelle mandate tramite il form aperto a tutti. Va bene che gli IP non sono statici e quindi lasciano il tempo che trovano però potrebbero sempre servire. E poi se nella pagina fate vedere che siete in grado di leggere l'IP dell'utente, molti spammer o presunti hacker (i bambinetti che credono di fare chissà cosa perchè si sono registrati e pensano di sfruttare il vostro form per spedire email minatorie agli amici) si spaventano e desistono (ok non è un tecnica di programmazione, ma a volte può servire)

Per ora è tutto

[Onorem]

Bè, è anche ora che questo annoso problema fosse generalizzato in publico perchè ionon neposso più di avere gli utenti che non possono registrarsi al mio sito perchè non gli arriva l'email di convalida, è un danno in termini di crescita dei visitatori non indifferente. Non solo chi si registra il sabato.. anche chi lo fa in mezzo alla settimana visto che poi le email vengono cancellate in blocco (buone e cattive), no?

Inoltre visto che lo spam è cosa contraria alla netquiette e alle leggi dello stato è bene prendere provvedimenti per limitare (al più annullare) questo fenomeno.

Spero che ora nasca un gruppo di discussione per tentare di trovare una soluzione a questo problema.

Se serve sono qui per dare il mio contributo.

Ciao a tutti.

[Diavolo_Rosso]

anche io ho letto solo ora la newsletter è posso dire che sono abbondantemente a favore di una limitazione (tipo, che so, un numero max di email al giorno, o un filtro che blocca l'invio di massa di + di un tot di email, etc....) ma allo stroncamento totale della funzione, NO! ASSOLUTAMENTE! quasi ogni progetto/sito/pagina che creo ha sempre strumenti di debug per controllarne il corretto funzionamento, che utilizzano la funzione mail per informarmi dei risultati delle analisi. per non parlare dei backup dei database che vengono inviati direttamente con la stessa funzione.

l'impossibilità di usare la funzione porterebbe a una situazione CATASTROFICA (si, vabbè, sto un pò esagerando....mi piace fare il melodrammatico )


cmq a parte gli scherzi...la funzione mail e troppo utile per essere eliminata cosi su 2 piedi e mi spiacerebbe vedere rovinato un prodotto come quello che offrite, che rasenta quasi la perfezione.

[coolmann]

Ciao a tutti, sono d'accordo anche io sulle limitazioni. Sarebbe interessante trovare un meccanismo analogo al traffic shaping: ovvero limitare progressivamente chi manda più messaggi, superando un tetto ragionevole... che so, 500 al giorno. Oppure attivare una coda di utenti "trusted" che non hanno mai sgarrato e non hanno script bucati. Certo mi chiedo davvero come mai così tanti utenti preferiscano il "fai da te" invece che affidarsi a professionisti del web, per le proprie applicazioni. Creano danni a TopHost ma soprattutto ai loro "vicini di casa virtuali", ogni volta che installano uno script che ha dei problemi. La serietà di TopHost è davvero molto apprezzabile, io ne parlo sempre bene sul mio blog, perché ho provato altri hosting (non faccio nomi per correttezza), e con tutti mi sono trovato male. Ma spesso sono gli utenti a peggiorare il servizio, facendo un cattivo (a volte pessimo) uso del servizio che hanno acquistato. Riguardo alla lista delle applicazioni "cattive", non serve  a molto secondo me: in tanti si fanno la propria form di contatto, non usano applicazioni già fatte (più sicure). Secondo me bisogna limitare alla radice, con una specie di "shaping" del traffico di messaggi: chi più manda, più è limitato.

http://www.duechiacchiere.it/

[lgnet]

Ciao a tutti, sono d'accordo anche io sulle limitazioni. Sarebbe interessante trovare un meccanismo analogo al traffic shaping: ovvero limitare progressivamente chi manda più messaggi, superando un tetto ragionevole... che so, 500 al giorno. Oppure attivare una coda di utenti "trusted" che non hanno mai sgarrato e non hanno script bucati. Certo mi chiedo davvero come mai così tanti utenti preferiscano il "fai da te" invece che affidarsi a professionisti del web, per le proprie applicazioni. Creano danni a TopHost ma soprattutto ai loro "vicini di casa virtuali", ogni volta che installano uno script che ha dei problemi. La serietà di TopHost è davvero molto apprezzabile, io ne parlo sempre bene sul mio blog, perché ho provato altri hosting (non faccio nomi per correttezza), e con tutti mi sono trovato male. Ma spesso sono gli utenti a peggiorare il servizio, facendo un cattivo (a volte pessimo) uso del servizio che hanno acquistato. Riguardo alla lista delle applicazioni "cattive", non serve  a molto secondo me: in tanti si fanno la propria form di contatto, non usano applicazioni già fatte (più sicure). Secondo me bisogna limitare alla radice, con una specie di "shaping" del traffico di messaggi: chi più manda, più è limitato.

http://www.duechiacchiere.it/

In parte sono daccordo con quello che dici, ma non è certo colpa di chi fa un semplice script per il formmail di poche righe, dove l'indirizzo del destinatario è fisso, che ci sono tante mail in coda, uno script così semplice non può essere considerato bacato, ma è lo script mail più usato, i problemi da quello che ho capito, si verificano sopratutto in script di CMS anche tra quelli più conosciuti.
Limitare le mail di un tot al giorno potrebbe essere utile, ma i forum ospitati da topohost che magari superano il numero di mail che fanno?
Nel bel mezzo della giornata avvisano gli utenti che non è possibile più utilizzare il servizio perchè hanno finito il numero di mail a disposizione?

Molto interessante invece il discorso "shaping", che potrebbe nel caso di sovraccarico del server attivarsi e dare priorità a chi lo ha utilizzato meno.

[Tophost]

Abbiamo trovato delle ruleset per mod_security (che noi usiamo) proprio
per combattere questo tipo di problema in maniera indiretta. Proviamo ad installarle per vedere come performano.

Comunque sarebbe una buona pratica impedire che le form sia fruibili dai bot e tenere presente sempre il problema dell'inclusione di url da parte di script php nati per includere file (e' la tecnica usata nel 99% dei casi).

[Diavolo_Rosso]

Nel bel mezzo della giornata avvisano gli utenti che non è possibile più utilizzare il servizio perchè hanno finito il numero di mail a disposizione?

beh....magari 500 messaggi al giorno sono pochi, ma qualcosa tipo 500 l'ora, dal mio punto divista da profano dell'argomento, mi sembrano abbastanza ragionevoli sia dal punto di vista della sicurezza, sia dal punto di vista dell'usabilità dell'utente.
dalla parte della sicurezza perche si potrebbe fare in modo che se si supera il limite per 2 ore consecutive si blocca totalmente per un paio di giorni l'utilizzo, cosi al massimo si possono mettere in coda 1000 messaggi che non sono certo 2milioni. e dalla parte dell'utenza perche è difficile trovare comunità che facciano un uso cosi grande dell'invio delle mail. 500 mail sono veramente tante da consumare in un ora.

la cosa risulta magari + problematica nel caso delle newsletter da parte degli admin di forum/siti con + di 500 utenti, ma solitamente chi gestisce comunità cosi grandi ha anche una certa esperienza, e non ci vuole moltissimo a fare uno script per scaglionare l'invio in + ore.

cmq in ogni caso, vediamo come và con queste nuove ruleset.

per quanto riguarda la non fruibilità dei form, io ho risolto sulla mia tagboard impostando il div che la contiene con display:none; e trasformandolo tramite un javascript collegato a un link cosi da costringere l'utente a cliccare sul link per far visualizzare il blocco e poter postare (un pò come avviene con gli spoiler su forumfree)

[doGmaI]

per quanto riguarda la non fruibilità dei form, io ho risolto sulla mia tagboard impostando il div che la contiene con display:none; e trasformandolo tramite un javascript collegato a un link cosi da costringere l'utente a cliccare sul link per far visualizzare il blocco e poter postare (un pò come avviene con gli spoiler su forumfree)

Qui non sono sicuro al 100% ma credo che la tua soluzione non sia molto sicura...

Hai presente quei programmini che spediscono la posta dai siti di tiscali, telecom ecc ecc... Non fanno altro che simulare il click sui bottoni delle pagine. Se tu hai il form nascosto visualizzabile tramite un click si potrebbe applicare lo stesso sistema e spedire email all'inverosimile.

Comunque ripeto sono andato un po' a naso...