让spamassassin在附件文件名中包含特定的REGEX时删除邮件

Question

新手问第一个问题：

我正在运行一个邮件服务器（Ubuntu/Postfix/Dovecot），配备了SpamAssassin。除了特定的附件垃圾邮件，如“order_info_654321.zip”、“paymet_document_123456.zip”等，它不符合任何其他SA规则外，大多数已知的垃圾邮件都会被标记为垃圾邮件（RBL和明显的UCE）。我想要制定一条规则，将匹配的违规者删除。

通过使用regex101.com进行调试，我得出了一个仅匹配这些模式的表达式：

/\w+[_][0-9]{6}.zip$/img

问题是… 如何格式化它们，使其正常工作，并将它们放在哪里？到目前为止，我编辑了/etc/spamassassin/local.cf，将此添加到底部，然后重新启动：

mimeheader TROJAN_ATTACHED Content-Type =~ /\w+[_][0-9]{6}.zip$/img
describe ZIP_ATTACHED email contains a zip trojan attachment
score TROJAN_ATTACHED 99.

但似乎它并没有起到魔法的作用。我还能在哪里寻找这个呢？

谢谢大家， Keijo.-

- Keijo D Putt

Answer 1

您的正则表达式有误。您不需要在末尾加上$字符，因为文件名字符串并不一定在Content-Type头部的末尾。相反，您可以使用单词边界锚点\b。在我的规则中，以下内容完美地运行：

mimeheader MIME_FAIL   Content-Type =~ /\.(ade|adp|bat|chm|cmd|com|cpl|exe|hta|ins|isp|jse|lib|lnk|mde|msc|msp|mst|pif|scr|sct|shb|sys|vb|vbe|vbs|vxd|wsc|wsf|wsh|reg)\b/i
describe   MIME_FAIL   Blacklisted file extension detected
score      MIME_FAIL   5

- El cero

---

我建议添加 jar 和 msi。 - royarisse

Answer 2

首先，SA默认不会删除电子邮件，但它可以将其标记为垃圾邮件并给出很高的分数，以至于它们不会出现在任何人的收件箱中。其次，我开始使用的“配方”是不正确的，并且还破坏了SA的正常运行能力。

当添加到/etc/spamassassin/local.cf中时，这实际上就解决了问题。

full TROJAN_ZIPUNDS /\w*[_][\d]{1,6}\.zip/img
score TROJAN_ZIPUNDS 99
describe TROJAN_ZIPUNDS RM zip attached trojan underscore

即使这些垃圾邮件发送者从zip变成rar，从下划线变成破折号，使用不同的文件名等等，但在成功制定第一个规则后，对抗它们变得简单了。以下是我添加的内容：

full TROJAN_RARDASH /\w*[-][\d]{1,6}\.rar/img
score TROJAN_RARDASH 99
describe TROJAN_RARDASH RM rar attached trojan dash

此外，正如先前所述，我需要特别屏蔽某些zip文件名称，但很快就变成了rar和破折号，因此，将正则表达式进行变形并作为规则三元组附加到spamassassin的local.cf中（并重新启动），目前可以防止垃圾邮件泛滥，直到下一次垃圾邮件浪潮出现为止。最后，这是一个非常粗略的解决方法，因此任何对此有专业知识的人都可以参与讨论。

- Keijo D Putt

---

这些对我不起作用。它给出了一个正则表达式错误。 - Turgut Kalfaoglu

Answer 3

你正在使用错误的MIME头来检查文件名。请改用以下内容：

 mimeheader TROJAN_ATTACHED Content-Disposition =~ /\w+[_][0-9]{6}.zip/img

同时确保已加载MimeHeader插件。

loadplugin Mail::SpamAssassin::Plugin::MIMEHeader

- John Caprez

---

SpamAssassin无法解析该行，"TROJAN_ATTACHED Content-Disposition =~ /\w+[][0-9]{6}.zip/img"对于"mimeheader"无效，跳过：mimeheader TROJAN_ATTACHED Content-Disposition =~ /\w+[][0-9]{6}.zip/img。 - Turgut Kalfaoglu