forum.opennet.ru - "SMTP Smuggling - новая техника спуфинга почтовых сообщений" (85)

"SMTP Smuggling - новая техника спуфинга почтовых сообщений"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"SMTP Smuggling - новая техника спуфинга почтовых сообщений"	+/–
Сообщение от opennews (??), 22-Дек-23, 00:04
Исследователи из компании SEC Consult опубликовали новую технику спуфинга, вызванную расхождениями в следовании спецификации в различных реализациях протокола SMTP. Предложенная техника атаки позволяет расщепить одно сообщение на несколько разных сообщений при его передаче исходным SMTP-сервером на другой SMTP-сервер, по иному трактующий последовательность для разделения писем, передаваемых через одно соединение. Метод может использоваться для отправки фиктивных писем от имени других отправителей в почтовых сервисах, верифицирующих исходного отправителя... Подробнее: https://www.opennet.me/opennews/art.shtml?num=60329
Ответить \| Правка \| Cообщить модератору

Оглавление

какой-то булшит, гнать из профессии, Аноним (1), 00:04 , 22-Дек-23, (1) +5

Согласен Законодательно применить n и закрыли тему А заголовок Content-Length , Аноним (16), 06:10 , 22-Дек-23, (16)

Не Content-Length, не разбирает SMTP сам по себе никаких заголовков Добавить DAT, Tron is Whistling (?), 09:23 , 22-Дек-23, (24)

ну и естественно без DATALEN больше одного сообщения за заход не пускать , Tron is Whistling (?), 09:25 , 22-Дек-23, (26) +1

Поддерживаю, раз на парсют письмы Кто-нить займити джуна какого-нить пщай оформи, Аноним (72), 03:24 , 23-Дек-23, (72) –1

1Даже шокирует то, что диды , пися всё на Сях, так ТУПО спроектировали протоко, Аноним (80), 15:38 , 23-Дек-23, (80) –3

Да, надо было на жабоскриптах писать, желательно всё с нпмочки стянув Но вот про, Tron is Whistling (?), 22:40 , 23-Дек-23, (83) +1
На самом деле этот протокол никто долго не проектировал - его слепили из того, ч, Tron is Whistling (?), 22:42 , 23-Дек-23, (84) +1

Давно есть chunking и BDAT, но опционально , anonymous (??), 15:08 , 22-Дек-23, (50)

Ух ты, пропустил это расширение Ну вот его и оставить, причём запретив пайплайни, Tron is Whistling (?), 15:23 , 22-Дек-23, (53)

Тогда передача между почтовыми серврами и gw-ями будет тормозить, all_glory_to_the_hypnotoad (ok), 16:50 , 22-Дек-23, (59) +1

Это было актуально при модемах На текущих скоростях и делеях сотню соединений вм, Tron is Whistling (?), 23:32 , 22-Дек-23, (69)
это я тебе как сидящий возле достаточно большого почтовика вещаю, сквозь которы, Tron is Whistling (?), 23:34 , 22-Дек-23, (70)

покажи свой smtp-сервер, который сделан строго по стандарту u-блюдочному кстати, лютый жабби... (?), 08:30 , 22-Дек-23, (21) –6

ой, кармадрючеры обиделись много тут писателей smtp серверов-то на расте, к, лютый жабби... (?), 12:45 , 22-Дек-23, (36) –2

А зачем кому-то писать такую скучную вещь как smtp сервер , Аноним (40), 13:41 , 22-Дек-23, (40) +1

Ты первый , Аноним (35), 11:59 , 22-Дек-23, (35)

Прекрасный стандарт Можно и так трактовать и эдак, удобненько А главное все про, Аноним (-), 00:10 , 22-Дек-23, (2) –1

Нельзя Просто в отдельные почтовые сервера зачем то доложили совместимостей нико, Ivan_83 (ok), 00:27 , 22-Дек-23, (3) +7

потому что почта должна ходить И принимать все, отправлять - соблюдая станда, нах. (?), 08:58 , 22-Дек-23, (23)

x 400Почитал, интересно, kusb (?), 10:56 , 22-Дек-23, (33)
Если бы к CRLF CRLF не понагородили алиасов - ничего бы не случилось, лишь пара , Ivan_83 (ok), 14:37 , 22-Дек-23, (44) +1

smtp как стандарт почты - не случилось бы Именно потому что тогда ВСЕ типы были, нах. (?), 16:30 , 24-Дек-23, (86)

В стандарте чётко оговорено, какой разделитель Это всё ещё отголоски войны carr, Аноним (5), 00:31 , 22-Дек-23, (5) +5
JSON-чики это тоже plain text Нужно делать как сделали с HTTP 2, т е делать но, all_glory_to_the_hypnotoad (ok), 01:15 , 22-Дек-23, (8) –2

Бинарные протоколы очень плохо заходят в индустрию Есть с десяток основных бинар, Ivan_83 (ok), 04:09 , 22-Дек-23, (15) +1

Регулярно подвергаюсь кенселенгу на опенет за то что ругаю бинарные протоколы, п, ОШИБКА Отсутствуют данные в поле Name (?), 11:51 , 22-Дек-23, (34) +1

Я не говорил что они плохие, я говорил что бинарные протоколы очень сложно заход, Ivan_83 (ok), 14:34 , 22-Дек-23, (42)

Для HTTP 1 очень даже нужно прогать на серверной части, и довольно долго и аккур, all_glory_to_the_hypnotoad (ok), 15:03 , 22-Дек-23, (48) +1

12299 питоновских structЯсно, уносите этого в 10-ю палату , scriptkiddis (?), 15:18 , 22-Дек-23, (51) +2

В мусоропровод с , нах. (?), 16:32 , 24-Дек-23, (87)

Я писал про клиента, но и серверу для простых вещей много ума не надо Не знаю ни, Ivan_83 (ok), 19:04 , 22-Дек-23, (65)

Важное преимущество этих протоколов состоит также в том, что их много Если рань, ОШИБКА Отсутствуют данные в поле Name (?), 16:50 , 22-Дек-23, (60) +2

То то программы в индустрии все не бинарники, процессоры прямо текст исполняют , Neon (??), 13:33 , 22-Дек-23, (39)

В индустрии прогают люди, людям проще прочитать текст и написать текст а не зани, Ivan_83 (ok), 14:35 , 22-Дек-23, (43)

Это было справедливо в какие-то 80-ые, когда ещё можно было попробовать глазами , all_glory_to_the_hypnotoad (ok), 14:53 , 22-Дек-23, (45)

Тем не менее бинарные протоколы всё ещё плохо заходят Тот же nginx имеет реализа, Ivan_83 (ok), 15:00 , 22-Дек-23, (46)
Можешь сколько угодно САМ СЕБЯ убеждать, что бинари - рулез, но практика и моя , Аноним (80), 15:31 , 23-Дек-23, (79)

Согласился бы, не будь таких же приколов с JSON из-за разницы в стандартах , Чукча (?), 03:49 , 22-Дек-23, (14)

Это примерно половина почтовых серверов Из крупных похоже только exim оказался , Аноним (4), 00:31 , 22-Дек-23, (4) +1

Exim топчик, Вася (??), 00:57 , 22-Дек-23, (6) +1

Axa https www cvedetails com vulnerability-list vendor_id-10919 product_id-1, OpenEcho (?), 01:26 , 22-Дек-23, (9) +2

Error 1009Access deniedчто за говно , Аноним (41), 13:45 , 22-Дек-23, (41)

УМВР, наверное ты с неправильного интернета смотришь На попробуй другую ссылку n, Анонимусс (?), 15:01 , 22-Дек-23, (47)
Нацональностью не вышел , Аноним (67), 21:44 , 22-Дек-23, (67) –1

паспортом Дискриминация по национальному признаку - позапрошлый век и уже немод, нах. (?), 16:36 , 24-Дек-23, (88)

Ты еще скажи, что паспорта и разрешение на вьезд а не на выезд - это плохо , Аноним (-), 17:38 , 24-Дек-23, (92)

exim топовое шерето, Аноним (13), 02:43 , 22-Дек-23, (13) +2

Астрологи объявляют неделю расщеплений сначала Terrapin, теперь ещё и Smuggling, BratishkaErik (ok), 01:14 , 22-Дек-23, (7)

И самое главное ведь как всегда - к праздничкам подарунчик пока админы бухают, OpenEcho (?), 01:27 , 22-Дек-23, (10)

A Sec Consult козлики могли бы сперва оповестить вендоров, как это принято, н, OpenEcho (?), 01:36 , 22-Дек-23, (11) +1

Они то предупредили Все претензии к автору перевода, который поленился об этом , kazh (?), 02:38 , 22-Дек-23, (12) +1

Предупредили Прям перед праздниками, в то время когда любая нормальная секьюрити, OpenEcho (?), 07:05 , 22-Дек-23, (17)

Скрыто модератором, Аноним (-), 12:54 , 22-Дек-23, (37) +1

Скрыто модератором, OpenEcho (?), 17:58 , 22-Дек-23, (62)

На самом деле они подождали, пока уважаемые люди тм пофиксили, проблемы осталь, Аноним (38), 13:18 , 22-Дек-23, (38)

Вот поэтому - и козлы, OpenEcho (?), 18:04 , 22-Дек-23, (63)

Wietse Venema, очередной раз - респект https www postfix org smtp-smuggling h, OpenEcho (?), 07:19 , 22-Дек-23, (19) +1

Это частичное решение, которое при должной настойчивости можно обойти А менно, , Имя (?), 15:48 , 22-Дек-23, (56)

Какой нахрен пакет в TCP Для нудных да, TCP разбивается на пакеты при отправке, Аноним (61), 17:39 , 22-Дек-23, (61)
Лучше, - чем ничего, OpenEcho (?), 18:06 , 22-Дек-23, (64)

кортинге нигрузяца, Аноним (66), 19:23 , 22-Дек-23, (66)

Заглянул на почтовики, reject_unauth_pipelining добавлено с какого-то там борода, Tron is Whistling (?), 08:41 , 22-Дек-23, (22) +1

Заглянул на почтовики, увидел что хоть reject_unauth_pipelining присутствует с к, San (??), 09:24 , 22-Дек-23, (25)

А смысл Пока достаточно предотвращения pipelining в процессе обработки данных П, Tron is Whistling (?), 09:27 , 22-Дек-23, (27)

Мне кажется, что эти директивы все-таки немного разного назначенияОдна проверяет, San (??), 09:56 , 22-Дек-23, (29) +1

В любом случае обе можно обойти, авторизовавшись и выровняв пайплайн по границе , Tron is Whistling (?), 10:05 , 22-Дек-23, (31)
Первая запрещает слать DATA в пайплайн, вместе с другими командами, не отдельным, Tron is Whistling (?), 10:09 , 22-Дек-23, (32)

Всегда использовали 0 и не было никаких проблем, зачем придумали эту абракадабр, ИмяХ (ok), 09:58 , 22-Дек-23, (30) +1

Правда что ли 0 не текст, что является проблемой для текстового протокола, да , Аноним (1), 10:11 , 23-Дек-23, (74)
в hello, world ах Там да, там и повезти могло А в индустрии решения хуже n, User (??), 09:36 , 25-Дек-23, (93)

Испытываю странные ощущения - настоящим почтовиком занимался в 10-е годы, сейчас, abu (?), 15:05 , 22-Дек-23, (49)

Да всем Потому что разосланный этим способом спам и тебе придёт, в том числе , Tron is Whistling (?), 15:25 , 22-Дек-23, (54)

С такой точки зрения - действительно так и есть , abu (?), 03:17 , 23-Дек-23, (71)

Уж сколько раз твердили миру in-band signalling - смертельный грех Но только в, Аноним (55), 15:33 , 22-Дек-23, (55)
Не уловил в чём проблема Ну один сервак считает это одним письмом, второй счита, Аноним (57), 16:18 , 22-Дек-23, (57) +1

Неа Основная проблема вот в чем второе письмо может быть отправлено от имени по, Аноним (-), 16:49 , 22-Дек-23, (58) –1

Так а сервак почему не проверяет от кого второе письмо Он проверяет только перв, Аноним (57), 21:51 , 22-Дек-23, (68) +1

Какому хакеру Куда подключиться Допустим ты подключаешься на сервер, проходишь , EuPhobos (ok), 10:18 , 23-Дек-23, (75)

Это же smtp поднимите у себя сервер и отправляйте хоть по миллиону писем в секу, ыы (?), 13:05 , 23-Дек-23, (76)

Ты либо троллишь, либо никогда не поднимал такой сервер , Аноним (82), 19:13 , 23-Дек-23, (82) +3

Ну так проблема у несоответствующих клиентов, зачем поддерживать несоответствие,, EuPhobos (ok), 10:07 , 23-Дек-23, (73)
то есть проблема в том что в этом случае подделывается поле не только From , но, ыы (?), 13:19 , 23-Дек-23, (77) +1

SPF, Аноним (85), 07:38 , 24-Дек-23, (85)
п-дюли, как ни странно А в этом случае - все следы закончатся на ТВОЕМ сервере И, нах. (?), 16:39 , 24-Дек-23, (89)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 22-Дек-23, 00:04 +5 +/–

>для обеспечения совместимости
какой-то булшит, гнать из профессии

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #16, #21, #35

2. Сообщение от Аноним (-), 22-Дек-23, 00:10 –1 +/–

Прекрасный стандарт. Можно и так трактовать и эдак, удобненько.
А главное все просто plain text, а не ваши новомодные json-чики.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #5, #8, #14

3. Сообщение от Ivan_83 (ok), 22-Дек-23, 00:27 +7 +/–

Нельзя.
Просто в отдельные почтовые сервера зачем то доложили совместимостей никого не спросив.
Я бы просто это выкинул и не вспоминал, старые клиенты мертвы, это их проблемы.
/n./n - это похоже для тех кто из консоли руками отправляет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #23

4. Сообщение от Аноним (4), 22-Дек-23, 00:31 +1 +/–

> Postfix, Sendmail, MS Exchange Online
Это примерно половина почтовых серверов? Из крупных похоже только exim оказался незатронут.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #6

5. Сообщение от Аноним (5), 22-Дек-23, 00:31 +5 +/–

В стандарте чётко оговорено, какой разделитель. Это всё ещё отголоски войны carriage return и line feed в качестве конца строк, ну и костыли в конкретных реализациях почтовиков.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

6. Сообщение от Вася (??), 22-Дек-23, 00:57 +1 +/–

Exim топчик

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #9, #13

7. Сообщение от BratishkaErik (ok), 22-Дек-23, 01:14 +/–

Астрологи объявляют неделю расщеплений. сначала Terrapin, теперь ещё и Smuggling, смурфики какие-то.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #10

8. Сообщение от all_glory_to_the_hypnotoad (ok), 22-Дек-23, 01:15 –2 +/–

JSON-чики это тоже plain text. Нужно делать как сделали с HTTP/2, т.е. делать нормальный бинарный протокол на фреймах

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #15

9. Сообщение от OpenEcho (?), 22-Дек-23, 01:26 +2 +/–

> Exim топчик
Axa...
https://www.cvedetails.com/vulnerability-list/vendor_id-1091...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #41

10. Сообщение от OpenEcho (?), 22-Дек-23, 01:27 +/–

> Астрологи объявляют неделю расщеплений.
И самое главное ведь как всегда - к праздничкам подарунчик... пока админы бухают

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

11. Сообщение от OpenEcho (?), 22-Дек-23, 01:36 +1 +/–

A Sec Consult козлики... могли бы сперва оповестить вендоров, как это принято, но очень сильно козлиную медаль хотелось наверное

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #12, #38

12. Сообщение от kazh (?), 22-Дек-23, 02:38 +1 +/–

Они то предупредили. Все претензии к автору перевода, который поленился об этом упомянуть.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #17

13. Сообщение от Аноним (13), 22-Дек-23, 02:43 +2 +/–

exim топовое шерето

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

14. Сообщение от Чукча (?), 22-Дек-23, 03:49 +/–

Согласился бы, не будь таких же приколов с JSON из-за разницы в стандартах.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

15. Сообщение от Ivan_83 (ok), 22-Дек-23, 04:09 +1 +/–

Бинарные протоколы очень плохо заходят в индустрию.
Есть с десяток основных бинарных протоколов, но всё что бегает в TCP - в основном текстовое, потому что отлаживать проще.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #34, #39, #45

16. Сообщение от Аноним (16), 22-Дек-23, 06:10 +/–

Согласен. Законодательно применить \n и закрыли тему.
А заголовок Content-Length сделать обязательным.
Тогда и "." ждать не нужно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #24, #50

17. Сообщение от OpenEcho (?), 22-Дек-23, 07:05 +/–

> Они то предупредили.
Предупредили?
>  Timeline
>   Dec 18 SEC Consult publishes an attack that involves the composition of two different email service behaviors.
Прям перед праздниками, в то время когда любая нормальная секьюрити компания оповещает вендоров и ждет как миниум месяца 3 перед тем как опубликовывать.
Козлы - это очень мягко ИМО...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #37

19. Сообщение от OpenEcho (?), 22-Дек-23, 07:19 +1 +/–

Wietse Venema, очередной раз - респект !
https://www.postfix.org/smtp-smuggling.html
В двух словах, для тех кто продакшн:
> With all Postfix versions:
>smtpd_data_restrictions = reject_unauth_pipelining
>
> Postfix 3.8.1, 3.7.6, 3.6.10 and 3.5.20 include the same feature:
>smtpd_forbid_unauth_pipelining = yes

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #56, #66

21. Сообщение от лютый жабби... (?), 22-Дек-23, 08:30 –6 +/–

>гнать из профессии
покажи свой smtp-сервер, который сделан строго по стандарту (u-блюдочному кстати и размазанному по десятку рфц) и которым пользуется хотя бы миллион человек?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #36

22. Сообщение от Tron is Whistling (?), 22-Дек-23, 08:41 +1 +/–

Заглянул на почтовики, reject_unauth_pipelining добавлено с какого-то там бородатого года. Зевнул и пошёл спать дальше.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #25

23. Сообщение от нах. (?), 22-Дек-23, 08:58 +/–

> Просто в отдельные почтовые сервера зачем то доложили совместимостей никого не спросив.
потому что "почта должна ходить". И "принимать все, отправлять - соблюдая стандарты".
А если бы этого не сделали - ты бы до сих пор пользовался прекрасной x.400
Вот там - все было по правилам. И доставка за считанные часы. Что? Часы! Оно так работало.
Предполагалось что хакеры ссущие в солонки - забота полиции, а не владельца солонки.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #33, #44

24. Сообщение от Tron is Whistling (?), 22-Дек-23, 09:23 +/–

Не Content-Length, не разбирает SMTP сам по себе никаких заголовков.
Добавить DATALEN <x> в протокол и забыть.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #26, #80

25. Сообщение от San (??), 22-Дек-23, 09:24 +/–

Заглянул на почтовики, увидел что хоть reject_unauth_pipelining присутствует с какого-то бородатого года, но "smtpd_forbid_unauth_pipelining = yes" отсутствует
Добавил smtpd_forbid_unauth_pipelining, перезапустил postfix.
Только после этого зевнул и пошёл спать дальше.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #27

26. Сообщение от Tron is Whistling (?), 22-Дек-23, 09:25 +1 +/–

(ну и естественно без DATALEN больше одного сообщения за заход не пускать)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #72

27. Сообщение от Tron is Whistling (?), 22-Дек-23, 09:27 +/–

А смысл? Пока достаточно предотвращения pipelining в процессе обработки данных.
Посплю до затычки, а потом обновлюсь, наплевав на все празднества.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #29

29. Сообщение от San (??), 22-Дек-23, 09:56 +1 +/–

Мне кажется, что эти директивы все-таки немного разного назначения
Одна проверяет не посылает ли подключившийся SMTP команды там, где их не должно быть, а вторая разрывает соединения если клиент "violate RFC 2920 (or 5321) command pipelining constraints"
согласно "man 5 postconf"
Или я ошибаюсь?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #31, #32

30. Сообщение от ИмяХ (ok), 22-Дек-23, 09:58 +1 +/–

Всегда использовали \0 и не было никаких проблем, зачем придумали эту абракадабру с точкой?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #74, #93

31. Сообщение от Tron is Whistling (?), 22-Дек-23, 10:05 +/–

В любом случае обе можно обойти, авторизовавшись и выровняв пайплайн по границе пакета.
Поэтому до затычки частично поможет любое из... но только частично.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

32. Сообщение от Tron is Whistling (?), 22-Дек-23, 10:09 +/–

Первая запрещает слать DATA в пайплайн, вместе с другими командами, не отдельным пакетом.
Это по сути то, что и останавливает указанный вариант.
Вторая запрещает пайплайнить вообще не по границе пакета.
Обе обходятся грамотным выравниванием контента.
Там да, надо, чтобы звёзды сошлись, но можно поэкспериментировать и подобрать для конкретной пары.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

33. Сообщение от kusb (?), 22-Дек-23, 10:56 +/–

x.400
Почитал, интересно

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23

34. Сообщение от ОШИБКА Отсутствуют данные в поле Name (?), 22-Дек-23, 11:51 +1 +/–

Регулярно подвергаюсь кенселенгу на опенет за то что ругаю бинарные протоколы, поэтому скажу так: ну и зря! Был не прав! Очень хорошие бинарные протоколы! Побольше бы таких протоколов в индустрию!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #42

35. Сообщение от Аноним (35), 22-Дек-23, 11:59 +/–

Ты первый.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

36. Сообщение от лютый жабби... (?), 22-Дек-23, 12:45 –2 +/–

ой, кармадрючеры обиделись.... много тут писателей smtp серверов-то? на расте, кстати, их за 15 лет ноль нормальных родили ) samotop глююкалово и тормозилово.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #40

37. Сообщение от Аноним (-), 22-Дек-23, 12:54 +1 +/–

А, ну конечно нужно было подождать с критической проблемой - разрабам же обязательно побухать на кристмас и нг.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #62

38. Сообщение от Аноним (38), 22-Дек-23, 13:18 +/–

> 2023-10-16:     SMTP smuggling in Exchange Online is fixed
На самом деле они подождали, пока уважаемые люди (тм) пофиксили, проблемы остальных индейцев никого не волнуют

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #63

39. Сообщение от Neon (??), 22-Дек-23, 13:33 +/–

То то программы в индустрии все не бинарники, процессоры прямо текст исполняют)))

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #43

40. Сообщение от Аноним (40), 22-Дек-23, 13:41 +1 +/–

А зачем кому-то писать такую скучную вещь как smtp сервер?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

41. Сообщение от Аноним (41), 22-Дек-23, 13:45 +/–

Error 1009
Access denied
что за говно?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #47, #67

42. Сообщение от Ivan_83 (ok), 22-Дек-23, 14:34 +/–

Я не говорил что они плохие, я говорил что бинарные протоколы очень сложно заходят.
Взять хотя бы HTTP1 vs HTTP2+.
Для HTTP1 особо и прогать не надо чтобы файл скачать: кое как сгенерить запрос, немного распарсить ответ и всё.
Для HTTP2+ нужно нагородить кучу кода и ещё отладить его, полагаю потребуются дополнительные утилиты, которые возможно тоже нужно написать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34 Ответы: #48, #60

43. Сообщение от Ivan_83 (ok), 22-Дек-23, 14:35 +/–

В индустрии прогают люди, людям проще прочитать текст и написать текст а не заниматся кодированием битов и слежением за порядком байт.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39

44. Сообщение от Ivan_83 (ok), 22-Дек-23, 14:37 +1 +/–

Если бы к CRLF.CRLF не понагородили алиасов - ничего бы не случилось, лишь пара странных типов пишущих письма из терминала через телнет/неткат пострадала бы.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #86

45. Сообщение от all_glory_to_the_hypnotoad (ok), 22-Дек-23, 14:53 +/–

Это было справедливо в какие-то 80-ые, когда ещё можно было попробовать глазами посмотреть трафик. Сейчас ситуация поменялась из-за увеличения объёма данных и отлаживать так просто глазами уже сложно, сейчас нужны автоматизированные аналитические инструменты. К тому же для всего есть pretty-printer-ы, например, см. wireshark. Выбор между текстовым форматом и бинарным примерно стоит в наличии времени на разработку вспомогательного инструмента и объёмов данных. Небольшие метаданные чаще удобнее представлять в текстовых форматах. Но есть проблемы...
И эти проблемы заключаются в кажущейся простоте текстовых форматов. А на самом деле они значительно сложнее бинарных, например, из-за эскейпинга (см. проблему из новости, что такое SQL injection и т.д.). Делать корректные парсеры для текста сложно и в особенности если речь про древний хлам из 80-ых, который к настоящему оброс кучей отклонений от стандартов.
Бинарные протоколы заходят в индустрию отлично. Почти всё своё внутри корпораций работает на бинарных протоколах, тот же protobuf. А текст остаётся в основном для совместимости с внешним миром. Теперь наконец начали пробовать закапывать HTTP/1.x, в сети в основном он и бегает если убрать торрент и ~RTP. Остались ещё местами последователи BDSM церкви свидетелей вездесущего XML, еретики в виде секты читабельного JSON-а и новое эзотерическое течение YAMLлогов. Но это всё постепенно уходит в категорию маргинальщины и рукозадства.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #46, #79

46. Сообщение от Ivan_83 (ok), 22-Дек-23, 15:00 +/–

Тем не менее бинарные протоколы всё ещё плохо заходят.
Тот же nginx имеет реализацию proxy protocol 1 - который текстовый и не имеет версию 2 которая бинарная. (на самом деле обе реализованы там так себе).
Эскейпинг нужен не везде.
Привидите примеры костылей :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45

47. Сообщение от Анонимусс (?), 22-Дек-23, 15:01 +/–

УМВР, наверное ты с неправильного интернета смотришь)
На попробуй другую ссылку
nvd.nist.gov/vuln/detail/CVE-2022-37452
Exim before 4.95 has a heap-based buffer overflow for the alias list in host_name_lookup in host.c when sender_host_name is set.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

48. Сообщение от all_glory_to_the_hypnotoad (ok), 22-Дек-23, 15:03 +1 +/–

Для HTTP/1 очень даже нужно прогать на серверной части, и довольно долго и аккуратно. Тем более где это ты програешь HTTP/1 руками в наши дни? Поти во всех ЯП есть уже готовые либы, которые для разработчика отдают простой API. Утилиты для HTTP/1 тоже как-бы присутствуют, например curl и wget. Так будет и для HTTP/2 в базовом варианте. В конце концов на коленке создать и разобрать HTTP/2 запрос-ответ на питоновских struct в общем случе будет проще, чем полноценно разбирать HTTP/1 ответ.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #51, #65

49. Сообщение от abu (?), 22-Дек-23, 15:05 +/–

Испытываю странные ощущения - настоящим почтовиком занимался в 10-е годы, сейчас все больше все лезут в сторонние почтовые сервисы (но я бы сгородил что-то свое, косое, но свое), стало быть, реальных админов почтовых серверов мало же сейчас? Или все же больше 500 на страну?
Ну так пусть идут и занимаются всей этой пургой (:
Вопрос, собственно, один - кому массово эта история важна?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #54

50. Сообщение от anonymous (??), 22-Дек-23, 15:08 +/–

Давно есть chunking и BDAT, но опционально.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #53

51. Сообщение от scriptkiddis (?), 22-Дек-23, 15:18 +2 +/–

》питоновских struct
Ясно, уносите этого в 10-ю палату.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48 Ответы: #87

53. Сообщение от Tron is Whistling (?), 22-Дек-23, 15:23 +/–

Ух ты, пропустил это расширение.
Ну вот его и оставить, причём запретив пайплайнинг множества сообщений, до окончания данных и получения ответа новых команд слаться не должно, хотя это в RFC описать забыли.
А для DATA оставить возможность отправки только одного сообщения за сеанс.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #50 Ответы: #59

54. Сообщение от Tron is Whistling (?), 22-Дек-23, 15:25 +/–

Да всем.
Потому что разосланный этим способом спам и тебе придёт, в том числе.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49 Ответы: #71

55. Сообщение от Аноним (55), 22-Дек-23, 15:33 +/–

Уж сколько раз твердили миру:
"in-band signalling - смертельный грех".
Но только всё не впрок.
И в столовой хакер
Всегда отыщет с солонкой уголок.

Ответить | Правка | Наверх | Cообщить модератору

56. Сообщение от Имя (?), 22-Дек-23, 15:48 +/–

>smtpd_data_restrictions = reject_unauth_pipelining
Это частичное решение, которое при должной настойчивости можно обойти. А менно, злоумышленнику достаточно подобрать размер первого сообщения так, чтобы начало второго сообщения пришлось на новый сетевой пакет.
This will block misuse of SMTP command pipelining, when one network packet contains multiple lines with smuggled SMTP commands and message content. It will not block message pipelining (multiple MAIL transactions per session), *nor will it block a malformed end of line*. Malformed line endings are addressed with the long-term solution.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #61, #64

57. Сообщение от Аноним (57), 22-Дек-23, 16:18 +1 +/–

Не уловил в чём проблема. Ну один сервак считает это одним письмом, второй считает за два. Что мешало сразу два письма послать на второй сервак? Результат тот же был бы.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #58

58. Сообщение от Аноним (-), 22-Дек-23, 16:49 –1 +/–

Неа.
Основная проблема вот в чем "второе письмо может быть отправлено от имени пользователя, не аутентифицированного через "AUTH LOGIN", но выглядеть как корректное на стороне получателя"
Т.е первое письмо делаем от васи пупкина и оно отправляется пользователем в мусорку/спам, а второе о гугла или сбера с просьбой срочно сменить пароль
Посмотри какие на картинках заголовки и адреса.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57 Ответы: #68

59. Сообщение от all_glory_to_the_hypnotoad (ok), 22-Дек-23, 16:50 +1 +/–

Тогда передача между почтовыми серврами и gw-ями будет тормозить

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53 Ответы: #69, #70

60. Сообщение от ОШИБКА Отсутствуют данные в поле Name (?), 22-Дек-23, 16:50 +2 +/–

Важное преимущество этих протоколов состоит также в том, что их много. Если раньше для того чтобы написать программу с кнопкой, которая скачивает файл по ссылке, нужно было поддерживать HTTP1/1.1, то сейчас нужно добавлять поддержку HTTP2 и HTTP3, а это почти в три раза лучше того что было и требует, например от мобильных/встроенных устройств, где это может быть критично, большего размера бинарника и оперативной памяти. Это в свою очередь будет стимулировать производителей создавать устройства, с более лучшими характеристиками, а пользователей - заменять всё старое на новое, тоже более лучшее. Я очень воодушевлённо рад наблюдаемому прогрессу в развитии протоколов, и надеюсь что в скором времени мы увидим хотя бы ещё один.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42

61. Сообщение от Аноним (61), 22-Дек-23, 17:39 +/–

Какой нахрен пакет в TCP?
(Для нудных: да, TCP разбивается на пакеты при отправке, но для отправителя и получателя это прозрачно.)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56

62. Сообщение от OpenEcho (?), 22-Дек-23, 17:58 +/–

> А, ну конечно нужно было подождать с критической проблемой - разрабам же
> обязательно побухать на кристмас и нг.
Не, нет, что-ты? Они должны пахать, (как ты?), с испорченным настроением на праздники.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

63. Сообщение от OpenEcho (?), 22-Дек-23, 18:04 +/–

>> 2023-10-16:     SMTP smuggling in Exchange Online is fixed
> На самом деле они подождали, пока уважаемые люди (тм) пофиксили, проблемы остальных
> индейцев никого не волнуют
Вот поэтому - и козлы

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38

64. Сообщение от OpenEcho (?), 22-Дек-23, 18:06 +/–

>>smtpd_data_restrictions = reject_unauth_pipelining
> Это частичное решение
Лучше, - чем ничего

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56

65. Сообщение от Ivan_83 (ok), 22-Дек-23, 19:04 +/–

Я писал про клиента, но и серверу для простых вещей много ума не надо.
Не знаю никаких питоновских структов.
Я много разных протоколов реализовывал.
Все текстовые протоколы всегда можно потыкать через простой терминал, я вот себе написал: https://netlab.dhis.org/wiki/software:win:net:tcp_term это уже где 5+ итерация.
Я писалпростые клиенты на перле для DynDNS, где надо просто подключится и заслать фиксированный запрос и получить какой то примитивный ответ. Это всё легко делается на сокет+базовые функции.
Но каждый раз когда я писал бинарный протокол это занимало намного больше времени чтобы накорябать хидер со всеми структурами, всеми константами и потом ещё накорябать сборку/разборку этого всего.
Те я толкую именно про входной барьер от начала до первого рабочего прототипа, а не полноценную реализацию всех стандартов целиком.
Да, с полной реализацией стандартов у бинарных протоколов легче тк вариативность ниже.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

66. Сообщение от Аноним (66), 22-Дек-23, 19:23 +/–

кортинге нигрузяца

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

67. Сообщение от Аноним (67), 22-Дек-23, 21:44 –1 +/–

Нацональностью не вышел.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #88

68. Сообщение от Аноним (57), 22-Дек-23, 21:51 +1 +/–

Так а сервак почему не проверяет от кого второе письмо? Он проверяет только первое письмо в в соединении?
Тогда ничто не мешает хакеру также подключиться и через \r\n отправить два письма.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58 Ответы: #75

69. Сообщение от Tron is Whistling (?), 22-Дек-23, 23:32 +/–

Это было актуально при модемах.
На текущих скоростях и делеях сотню соединений вместо одного для передачи почты просто не заметишь.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59

70. Сообщение от Tron is Whistling (?), 22-Дек-23, 23:34 +/–

(это я тебе как сидящий возле достаточно большого почтовика вещаю, сквозь который миллионы писем в сутки проходят... у меня между gw и серверами как раз выставлено максимум 1 сообщение, но немножко по-другим околотехническим причинам)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59

71. Сообщение от abu (?), 23-Дек-23, 03:17 +/–

> Да всем.
> Потому что разосланный этим способом спам и тебе придёт, в том числе.
С такой точки зрения - действительно так и есть (:

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #54

72. Сообщение от Аноним (72), 23-Дек-23, 03:24 –1 +/–

Поддерживаю, раз на парсют письмы.
Кто-нить займити джуна какого-нить пщай оформит RFC-у и иму профит в карму и старикам приятно =)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

73. Сообщение от EuPhobos (ok), 23-Дек-23, 10:07 +/–

> Отмечается, что отключение поддержки альтернативных разделителей может нарушить работу некоторых редких почтовых клиентов, не полностью соответствующих спецификации SMTP.
Ну так проблема у несоответствующих клиентов, зачем поддерживать несоответствие, это больной парадокс.

Ответить | Правка | Наверх | Cообщить модератору

74. Сообщение от Аноним (1), 23-Дек-23, 10:11 +/–

Правда что ли? \0 не текст, что является проблемой для текстового протокола, да и когда в telnet набираешь могут быть "сложности".

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

75. Сообщение от EuPhobos (ok), 23-Дек-23, 10:18 +/–

Какому хакеру? Куда подключиться?
Допустим ты подключаешься на сервер, проходишь аутентификацию, тебе разрешено отправить 10 писем в течении одной секунды, что бы не спамил почём зря, ты отправляешь одно письмо но с этими "неправильными" символами разделения которых в письме у тебя тысяча штук, и после каждого разные команды на отправку с разными адресами, по стандарту твоё письмо корректное и сервер обработает его как единое, и отправит дальше, а сл. сервер "туповатый", подумает что пришло 1000 писем с предыдущего сервера, который тебя проверил и всё норм. Ну и отправит 1000 писем на разные адреса.
И так ещё 10 раз по 1000 в течении секунды, и потом каждую секунду так по 10000 писем от тебя.
Вуаля, халявная рассылка. Пойди найди откуда оно летит.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #68 Ответы: #76

76. Сообщение от ыы (?), 23-Дек-23, 13:05 +/–

Это же smtp. поднимите у себя сервер и отправляйте хоть по миллиону писем в секунду. Зачем вам это делать через чей то сервер?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #75 Ответы: #82

77. Сообщение от ыы (?), 23-Дек-23, 13:19 +1 +/–

то есть проблема в том что в этом случае подделывается поле не только From: , но и mail FROM:
Однако, тут возникает вопрос: ну и что?
Что мешает вам на собственном smtp сервере сделать так? и слать что угодно кому угодно от чьего угодно имени?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #85, #89

79. Сообщение от Аноним (80), 23-Дек-23, 15:31 +/–

Можешь сколько угодно САМ СЕБЯ убеждать, что бинари - рулез, но практика (и моя в т.ч.) показывает, что текстовый протокол - наше всё. Конечно, ты как бравый русский программист готов "переписать всё за неделю", но вот нахрен ты не нужен со своими байтами. Потому что далеко не всегда и везде можно влезать и "парсить бинарь". А текст - он даже в отладчике прекрасно видится. Более того - всякие проблемы мисформаттинга в ТЕКСТЕ ловятся на раз. А в бинаре - ну да, попрыгай по байтам, угадай, кто из переменных напортачил и вместо byte записал int, от чего ВСЯ бинарная шняга съехала по смещениям.
Короче, ты просто студент ещё (по кр. мере по уровню скилов) и большой работы по протоколам не делал, потому тебе всё легко. Я сам писал кучу серверов - для IRC, SMTP/POP3, HTTP... И когда ты видишь текстовую вещь, да ещё которую можно легко парсить регэкспами, наступает нирвана. А ипасса с байтиками и угадывать значения - ну если нравится просирать время - ради бога!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45

80. Сообщение от Аноним (80), 23-Дек-23, 15:38 –3 +/–

+1
Даже шокирует то, что "диды", пися всё на Сях, так ТУПО спроектировали протокол. Очевидно же, что Сишная программа убога по возможностям прокидывания больших объёмов - в них каждый байт на счету, malloc/free и всё такое. Поэтому ЗАРАНЕЕ знать размер получаемых данных - это ОГРОМНЫЙ плюс при обработке! Но нет, эти кретины придумали текстовую точку(!!!!!!!!!) для окончания текста, в котором самом полно точек!!! *фэйспалм.ави 500ГБ*

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #83, #84

82. Сообщение от Аноним (82), 23-Дек-23, 19:13 +3 +/–

> поднимите у себя сервер
Ты либо троллишь, либо никогда не поднимал такой "сервер".

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #76

83. Сообщение от Tron is Whistling (?), 23-Дек-23, 22:40 +1 +/–

Да, надо было на жабоскриптах писать, желательно всё с нпмочки стянув.
Но вот проблема - ни жабоскрипта, ни нпм у них не было. Да и мозгов было побольше.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #80

84. Сообщение от Tron is Whistling (?), 23-Дек-23, 22:42 +1 +/–

На самом деле этот протокол никто долго не проектировал - его слепили из того, что было, чтобы хоть как-то работало. Заря интернетиков, фтн, гнилой ууцп, все дела. А потом оно просто уже стало везде, и поменять что-то стало сложно. Тут лучше поблагодарить тех, кто не стал следовать стандарту, а начал пихать нестандартные варианты терминаторов так, что под них пришлось адаптироваться.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #80

85. Сообщение от Аноним (85), 24-Дек-23, 07:38 +/–

> Что мешает
SPF

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #77

86. Сообщение от нах. (?), 24-Дек-23, 16:30 +/–

smtp как стандарт почты - не случилось бы. Именно потому что тогда ВСЕ типы были "странные". А одна почта где шаг вправо-шаг влево - ошибка ОШИБКА и твоя почта отправляется в помойку - уже была.
sendmail с его мега-языком для исключительно переписывания адресов - тоже порожден тем же временем. Сейчас его конфиг кажется нелепой архаикой, а тогда это позволяло почте - доходить до адресатов. При том что и адресаты и отправители могли быть в совершенно вычурном виде. И вот то что оно все же доходило - и решило вопрос в пользу smtp и sendmail.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44

87. Сообщение от нах. (?), 24-Дек-23, 16:32 +/–

> 》питоновских struct
> Ясно, уносите этого в 10-ю палату.
"В мусоропровод!" (с)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51

88. Сообщение от нах. (?), 24-Дек-23, 16:36 +/–

> Нацональностью не вышел.
паспортом. Дискриминация по национальному признаку - позапрошлый век и уже немодно.
Вот по гражданству а еще лучше месту рождения в неправильной стране - самое то!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #67 Ответы: #92

89. Сообщение от нах. (?), 24-Дек-23, 16:39 +/–

> Что мешает вам на собственном smtp сервере сделать так? и слать что
> угодно кому угодно от чьего угодно имени?
п-дюли, как ни странно.
А в этом случае - все следы закончатся на ТВОЕМ сервере.
И очень интересно не эта ли технология использовалась для спама с гугля.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #77

92. Сообщение от Аноним (-), 24-Дек-23, 17:38 +/–

> Вот по гражданству а еще лучше месту рождения в неправильной стране -  самое то!
Ты еще скажи, что паспорта и разрешение на вьезд (а не на выезд) - это плохо.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #88

93. Сообщение от User (??), 25-Дек-23, 09:36 +/–

> Всегда использовали \0 и не было никаких проблем, зачем придумали эту абракадабру с точкой?
... в hello, world'ах? Там да, там и повезти могло. А в индустрии решения хуже null-terminating string - еще поискать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Аноним (1), 22-Дек-23, 00:04	+5 +/–
>для обеспечения совместимости какой-то булшит, гнать из профессии
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #16, #21, #35

2. Сообщение от Аноним (-), 22-Дек-23, 00:10	–1 +/–
Прекрасный стандарт. Можно и так трактовать и эдак, удобненько. А главное все просто plain text, а не ваши новомодные json-чики.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #3, #5, #8, #14

3. Сообщение от Ivan_83 (ok), 22-Дек-23, 00:27	+7 +/–
Нельзя. Просто в отдельные почтовые сервера зачем то доложили совместимостей никого не спросив. Я бы просто это выкинул и не вспоминал, старые клиенты мертвы, это их проблемы. /n./n - это похоже для тех кто из консоли руками отправляет.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #23

4. Сообщение от Аноним (4), 22-Дек-23, 00:31	+1 +/–
> Postfix, Sendmail, MS Exchange Online Это примерно половина почтовых серверов? Из крупных похоже только exim оказался незатронут.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #6

5. Сообщение от Аноним (5), 22-Дек-23, 00:31	+5 +/–
В стандарте чётко оговорено, какой разделитель. Это всё ещё отголоски войны carriage return и line feed в качестве конца строк, ну и костыли в конкретных реализациях почтовиков.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2

6. Сообщение от Вася (??), 22-Дек-23, 00:57	+1 +/–
Exim топчик
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #9, #13

7. Сообщение от BratishkaErik (ok), 22-Дек-23, 01:14	+/–
Астрологи объявляют неделю расщеплений. сначала Terrapin, теперь ещё и Smuggling, смурфики какие-то.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #10

8. Сообщение от all_glory_to_the_hypnotoad (ok), 22-Дек-23, 01:15	–2 +/–
JSON-чики это тоже plain text. Нужно делать как сделали с HTTP/2, т.е. делать нормальный бинарный протокол на фреймах
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #15

9. Сообщение от OpenEcho (?), 22-Дек-23, 01:26	+2 +/–
> Exim топчик Axa... https://www.cvedetails.com/vulnerability-list/vendor_id-1091...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6 Ответы: #41

10. Сообщение от OpenEcho (?), 22-Дек-23, 01:27	+/–
> Астрологи объявляют неделю расщеплений. И самое главное ведь как всегда - к праздничкам подарунчик... пока админы бухают
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7

11. Сообщение от OpenEcho (?), 22-Дек-23, 01:36	+1 +/–
A Sec Consult козлики... могли бы сперва оповестить вендоров, как это принято, но очень сильно козлиную медаль хотелось наверное
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #12, #38

12. Сообщение от kazh (?), 22-Дек-23, 02:38	+1 +/–
Они то предупредили. Все претензии к автору перевода, который поленился об этом упомянуть.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #11 Ответы: #17

13. Сообщение от Аноним (13), 22-Дек-23, 02:43	+2 +/–
exim топовое шерето
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6

14. Сообщение от Чукча (?), 22-Дек-23, 03:49	+/–
Согласился бы, не будь таких же приколов с JSON из-за разницы в стандартах.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2

15. Сообщение от Ivan_83 (ok), 22-Дек-23, 04:09	+1 +/–
Бинарные протоколы очень плохо заходят в индустрию. Есть с десяток основных бинарных протоколов, но всё что бегает в TCP - в основном текстовое, потому что отлаживать проще.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8 Ответы: #34, #39, #45

16. Сообщение от Аноним (16), 22-Дек-23, 06:10	+/–
Согласен. Законодательно применить \n и закрыли тему. А заголовок Content-Length сделать обязательным. Тогда и "." ждать не нужно.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #24, #50

17. Сообщение от OpenEcho (?), 22-Дек-23, 07:05	+/–
> Они то предупредили. Предупредили? > Timeline > Dec 18 SEC Consult publishes an attack that involves the composition of two different email service behaviors. Прям перед праздниками, в то время когда любая нормальная секьюрити компания оповещает вендоров и ждет как миниум месяца 3 перед тем как опубликовывать. Козлы - это очень мягко ИМО...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12 Ответы: #37

19. Сообщение от OpenEcho (?), 22-Дек-23, 07:19	+1 +/–
Wietse Venema, очередной раз - респект ! https://www.postfix.org/smtp-smuggling.html В двух словах, для тех кто продакшн: > With all Postfix versions: >smtpd_data_restrictions = reject_unauth_pipelining > > Postfix 3.8.1, 3.7.6, 3.6.10 and 3.5.20 include the same feature: >smtpd_forbid_unauth_pipelining = yes
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #56, #66

21. Сообщение от лютый жабби... (?), 22-Дек-23, 08:30	–6 +/–
>гнать из профессии покажи свой smtp-сервер, который сделан строго по стандарту (u-блюдочному кстати и размазанному по десятку рфц) и которым пользуется хотя бы миллион человек?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #36

22. Сообщение от Tron is Whistling (?), 22-Дек-23, 08:41	+1 +/–
Заглянул на почтовики, reject_unauth_pipelining добавлено с какого-то там бородатого года. Зевнул и пошёл спать дальше.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #25

23. Сообщение от нах. (?), 22-Дек-23, 08:58	+/–
> Просто в отдельные почтовые сервера зачем то доложили совместимостей никого не спросив. потому что "почта должна ходить". И "принимать все, отправлять - соблюдая стандарты". А если бы этого не сделали - ты бы до сих пор пользовался прекрасной x.400 Вот там - все было по правилам. И доставка за считанные часы. Что? Часы! Оно так работало. Предполагалось что хакеры ссущие в солонки - забота полиции, а не владельца солонки.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3 Ответы: #33, #44

24. Сообщение от Tron is Whistling (?), 22-Дек-23, 09:23	+/–
Не Content-Length, не разбирает SMTP сам по себе никаких заголовков. Добавить DATALEN <x> в протокол и забыть.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16 Ответы: #26, #80

25. Сообщение от San (??), 22-Дек-23, 09:24	+/–
Заглянул на почтовики, увидел что хоть reject_unauth_pipelining присутствует с какого-то бородатого года, но "smtpd_forbid_unauth_pipelining = yes" отсутствует Добавил smtpd_forbid_unauth_pipelining, перезапустил postfix. Только после этого зевнул и пошёл спать дальше.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #22 Ответы: #27

26. Сообщение от Tron is Whistling (?), 22-Дек-23, 09:25	+1 +/–
(ну и естественно без DATALEN больше одного сообщения за заход не пускать)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #24 Ответы: #72

27. Сообщение от Tron is Whistling (?), 22-Дек-23, 09:27	+/–
А смысл? Пока достаточно предотвращения pipelining в процессе обработки данных. Посплю до затычки, а потом обновлюсь, наплевав на все празднества.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #25 Ответы: #29

29. Сообщение от San (??), 22-Дек-23, 09:56	+1 +/–
Мне кажется, что эти директивы все-таки немного разного назначения Одна проверяет не посылает ли подключившийся SMTP команды там, где их не должно быть, а вторая разрывает соединения если клиент "violate RFC 2920 (or 5321) command pipelining constraints" согласно "man 5 postconf" Или я ошибаюсь?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #27 Ответы: #31, #32

30. Сообщение от ИмяХ (ok), 22-Дек-23, 09:58	+1 +/–
Всегда использовали \0 и не было никаких проблем, зачем придумали эту абракадабру с точкой?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #74, #93

31. Сообщение от Tron is Whistling (?), 22-Дек-23, 10:05	+/–
В любом случае обе можно обойти, авторизовавшись и выровняв пайплайн по границе пакета. Поэтому до затычки частично поможет любое из... но только частично.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #29

32. Сообщение от Tron is Whistling (?), 22-Дек-23, 10:09	+/–
Первая запрещает слать DATA в пайплайн, вместе с другими командами, не отдельным пакетом. Это по сути то, что и останавливает указанный вариант. Вторая запрещает пайплайнить вообще не по границе пакета. Обе обходятся грамотным выравниванием контента. Там да, надо, чтобы звёзды сошлись, но можно поэкспериментировать и подобрать для конкретной пары.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #29

33. Сообщение от kusb (?), 22-Дек-23, 10:56	+/–
x.400 Почитал, интересно
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #23