邮件服务器-邮件系统-邮件技术论坛(BBS)

标题: foxmail和outlook等客户端工具任意建立一个不存在的帐号都可以给公司邮箱发邮件 [打印本页]

作者: kevin_zhouwei 时间: 2006-7-6 22:46
标题: foxmail和outlook等客户端工具任意建立一个不存在的帐号都可以给公司邮箱发邮件
公司邮件服务器为win2K ad server + exchange 2000模式
今天发现一件很奇怪的事,假设公司邮箱为@abc.com,在任意一个客户端工具(foxmail或outlook)上建立一个不存在的帐号,比如随意建立一个abc@abc.com,实际上这个帐号在服务器上是不存在的,但用这个帐号可以向公司内部任一邮箱(*@abc.com)发送邮件.并且不需要通过密码验证的.不知什么原因?
但发给其他邮箱,比如@163.com,@sina.com,这些就需要输入密码验证了.
哪位如果见过此情况,给一个解决办法好吗?给点建议也好.这可以是一个漏洞呀.

作者: kevin_zhouwei 时间: 2006-7-7 11:11
版主帮个忙，千万不要沉下去呀！
这是一个大漏洞，该怎么解决呀！

作者: kevin_zhouwei 时间: 2006-7-7 14:52
钉子版主帮帮忙呀！

作者: yinjie 时间: 2006-7-7 15:34
当然，组织内发信不需要验证，除非你关闭匿名访问SMTP服务器

作者: kevin_zhouwei 时间: 2006-7-7 17:25
关闭匿名访问以后，根本就没办法发送邮件呀！
这样我认为是一个很大的漏洞呀，因为很多垃圾邮件发送者如果想向我公司内部发送邮件的话，就直接建立一个不存在的帐号就OK了呀！

作者: yinjie 时间: 2006-7-7 22:22
这不是一个漏洞，这是协议的设计使然。如果每个人都要有你公司的帐户才能给你发邮件，岂不是很奇怪，我从SINA给你发邮件，也需要有你公司的用户？所有的外部域邮件信息对于你的域和组织都是不存在的，不是吗。事实上你不需要建立你的组织域的邮件，你可以随意写邮件，都可以发，不信你自己试试。但前提是只能发到组织内（也就是收件人一定是组织内的用户）。此外，邮件系统默认情况不会对组织内的邮件的目标进行有效性校验，换句话说，我可以随意发邮件给你的组织内的用户（无论它是否存在），你的服务器都要处理它，而对于有效的目标则投递，无效的目标则发送NDR。当然你可以采取措施要求服务器对不存在的用户目标进行拒绝，但这样会带来字典探测的危险。不具体说了。

作者: feitianxiang 时间: 2006-7-9 12:51
smtp协议本身设计就这样的。发信可以匿名发信的。不需要帐号。
不然外面的人怎么给你发信啊。
当然，如果你只希望自己公司内部发信，那可以把要求身份验证，选上。呵呵，不过这样的话，外面的人是不能向你公司邮箱发信的。

可以在策略和一些设置上做严格的设置，结合使用第三方软件来控制和减少垃圾邮件。

作者: atong999888 时间: 2006-7-9 13:08
根本原因是开了匿名验证功能.
我的贴子"SMTP虚拟服务器安全配置"就是专门解决这个问题的, 我已经用了3年, 一直没问题.
之前也是碰到你同样的问题, 不仅外面发进来, 连内部也在冒用他人邮箱发恶意邮件, 导致老板很不高兴.
http://www.5dmail.net/bbs/thread-155370-1-1.html

[ 本帖最后由 atong999888 于 2006-7-9 18:10 编辑 ]

作者: kevin_zhouwei 时间: 2006-7-10 10:26
非常感谢版主的解答。但像163、新浪的邮箱，随便建一个帐号都无法向组织域内的邮箱发邮件呀。要能过ESMTP认证。这个认证是在哪里设置的？版主可以明示吗？

作者: china2004 时间: 2006-8-1 11:36
这个问题我曾经碰见过，也一直困惑我，实际上你只能往本公司内的地址发邮件，你实际上往外发不了的，除非你开通匿名的中继权限，这个没有关系的，你可以将EX2003升级SP2试一下，也许能解决这个问题。

作者: china2004 时间: 2006-8-1 11:37
另ex2003没有相关的esmtp的设置，有些设置还需要通过注册表来设置。

欢迎光临邮件服务器-邮件系统-邮件技术论坛(BBS) (http://bbs.5dmail.net/)