CODE RED & SQUID

я не вкусре чего такое это самое кодеред, но думаю, что если все упираеться в отфильтровку запрашиваемых урл, то тебя спасет обычный редиректор или acl. как делать смотри в районе http://squid.org.ua или http://squid.opennet.ru. Хотя у меня есть подозрение, что ты имеешь ввиду отсылку почтовых сообщений ? ;)

Отключай заболевшую машину от инета (сквидом) - и жди пока ее админ проснется, раз уж он не озаботился защитой от червя заранее. NT без админа быть не должна, не юникс чай!

Проблема не с почтой!
Red Code заражает машины запросом не правильной длины!
А машин у меня очень много... Всех не переловишь!
Как только заражение произошло она начинает слать в инет всякую муть
В огромных количествах! До половины пропусной способности канала!
В этом и проблема, что я не могу всех отрезать!
За два дня 14 случаев!
Нужен фильтр запросов!
AVP написали такой для NT..
Вот я и спрашиваю может есть такой фильтр и для SQuid?

Сквиду фильтровать тяжело, формальный признак - неправильная длина пакета, это ядро должно отрабатывать.

Я прочитал мейл-лист по этому поводу, там народ говорит, что нормально сквид не должен выпускать неправильные запросы наружу, проблема в том, что он не может ответить достойно пославшему запрос, решение предлагается:

http://www.squid-cache.org/mail-archive/squid-users/200108/0348.html

Я не уверен, что это то, что ты хочешь но лучшего не нашел...

Спасибо большое !
Почитаю...
Кажется это примерно то, что искал!

а не легче ли бороться с причиной а не со следствием? почту входящую проверяй ежели она у тебя через твой сервер линуховый ходит. можно и без авп, вона на процмейле можно соорудить проверку почты на предмет фраз и прочего де-тона опеннет недавно видал

Думаю сквидом можно резать, типа так

acl REDCODE url_regex \/default.ida?XXXXXXXXXXXXXXXXXXXXXX
http_access deny REDCODE

думаю этого будет достаточно....

Если я правильно понимаю,url_regex обрабатывает URL до знака ? Все остальное отбрасывается... Кроме того поток запросов настолько велик что SQUID переклинивает.. Судя повсему поможет только динамическая блокировка: Как только в логе squid появляется следы, ip адрес отправителя заносим в ipchains до выяснения обстоятельств....