On 2/17/06, <b class="gmail_sendername">Matthew L. Dailey</b> &lt;<a href="mailto:mdailey@marlboro.edu">mdailey@marlboro.edu</a>&gt; wrote:<div><span class="gmail_quote"></span><blockquote class="gmail_quote" style="border-left: 1px solid rgb(204, 204, 204); margin: 0pt 0pt 0pt 0.8ex; padding-left: 1ex;">
We've run into what I think may be a false positive in the filetype<br>match, although it is _very_ obscure. If we send a message which<br>begins with the letters 'LZ', the message is detected as an<br>executable. We have had this problem for a while, but I just built a
<br>completely new installation of our mail gateway with MS 4.50.15<br>hoping it would be gone, but it's not. In order to replicate this,<br>the message must begin with these two letters, and they must be in<br>caps. Here are the rules for executables that I'm using in
<br>filetype.rules.conf:<br>deny&nbsp;&nbsp;&nbsp;&nbsp;executable&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;No executables&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;No programs allowed<br>deny&nbsp;&nbsp;&nbsp;&nbsp;ELF&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; No executables&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;No programs allowed<br><br>I know this is pretty weird and obscure, but one of the higher-ups in
<br>our administration has the initials LZ and the President likes to<br>start e-mails to this individual with 'LZ-', which triggers this<br>every time.<br><br>Anyone have any ideas on this one? I took a quick look at the MS
<br>code, but nothing jumped out at me - perhaps it's in one of the<br>parser or decoder modules that MS uses?<br></blockquote></div><br>You will not find anything in the MS code since it uses the standard Unix &quot;file&quot; command to determine the file type. Read the man page for that command to find the &quot;magic&quot; file that contains signatures. It seems that different Unix flavors come with different magic files, some contain more signatures and might be more prone to false alarms.
<br clear="all"><br>One solution, granted not the best, would be to use a ruleset so that LZ guy can send executables. Quick and dirty fix.<br><br>-- <br>/peter