Le vendredi 9 avril, Jerome KIEFFER a écrit :
> oui mais je sais pas pourquoi j'ai l'impression que les 2 lignes de la
> fin sont fausses et qui le vrai spameur est
> Name: dsl-16-35.td.tiscali.no
> Address: 82.164.16.35
Le Received précédent est :
> Received: from 68.48.164.92 (dsl-16-35.td.tiscali.no [82.164.16.35])
> by egon (Postfix) with SMTP id EF1F789B
> for <jerome.kieffer@???>; Thu, 8 Apr 2004 19:00:22
> +0200 (CEST)
Mettons que tu connais egon et que tu lui fais confiance. Alors :
- 82.164.16.35 est l'IP du client ;
- dsl-16-35.td.tiscali.no est le DNS inverse de cette IP ;
- 68.48.164.92 est le « helo name », c'est à dire le nom sous lequel
il s'est présenté.
Pourquoi un client SMTP utiliserait une adresse IP en guise de helo
name ? et qui plus est, une IP qui n'est pas la sienne ? Je ne vois
qu'une bonne raison à cela : embrouiller les pistes. Ça aurait
d'ailleurs pu marcher si egon n'avait pas enregistré l'IP de son client.
Donc dans le Received auquel tu fais confiance il y a déjà un indice sur
la crédibilité de ceux qui suivent.
> Received: from anther.webhostingtalk.com ([88.58.121.118]) by
> da001d2020.lax-ca.osd.concentric.net with QMQP; Mar, 10 2004 9:43:05 AM
> +1200
> [...]
> D'ailleur je ne vois pas pourquoi un connecté en ADSL relayerais ce
> mail... et le garderait 3 semaines.
De plus, les Received ne s'enchaînent pas bien (le « by » de celui-ci
aurait dû être le « from » de l'autre). Le protocole n'est pas courant.
Comme le fait remarquer SpamAssassin, le format de la date n'est pas
conforme au RFC822. D'après le fuseau horaire, la machine se trouve au
milieu du pacifique. Le helo name et l'IP encore une fois ne
correspondent pas...
Bref, moi aussi je trouve ça louche.
--
Edgar Bonet Maison : 04 76 21 29 16 Bureau : 04 76 88 10 96
3 rue Jean Prévost Mobile : 06 77 19 79 39 Fax : 04 76 88 11 91
38000 Grenoble guilde@??? www.edgar-bonet.org
