foxmail和outlook等客户端工具任意建立一个不存在的帐号都可以给公司邮箱发邮件

kevin_zhouwei · 发表于 2006-7-6 22:46:50

公司邮件服务器为win2K ad server + exchange 2000模式
今天发现一件很奇怪的事,假设公司邮箱为@abc.com,在任意一个客户端工具(foxmail或outlook)上建立一个不存在的帐号,比如随意建立一个abc@abc.com,实际上这个帐号在服务器上是不存在的,但用这个帐号可以向公司内部任一邮箱(*@abc.com)发送邮件.并且不需要通过密码验证的.不知什么原因?
但发给其他邮箱,比如@163.com,@sina.com,这些就需要输入密码验证了.
哪位如果见过此情况,给一个解决办法好吗?给点建议也好.这可以是一个漏洞呀.

china2004 · 发表于 2006-8-1 11:37:36

另ex2003没有相关的esmtp的设置，有些设置还需要通过注册表来设置。

china2004 · 发表于 2006-8-1 11:36:20

这个问题我曾经碰见过，也一直困惑我，实际上你只能往本公司内的地址发邮件，你实际上往外发不了的，除非你开通匿名的中继权限，这个没有关系的，你可以将EX2003升级SP2试一下，也许能解决这个问题。

kevin_zhouwei · 发表于 2006-7-10 10:26:08

非常感谢版主的解答。但像163、新浪的邮箱，随便建一个帐号都无法向组织域内的邮箱发邮件呀。要能过ESMTP认证。这个认证是在哪里设置的？版主可以明示吗？

atong999888 · 发表于 2006-7-9 13:08:55

根本原因是开了匿名验证功能.
我的贴子"SMTP虚拟服务器安全配置"就是专门解决这个问题的, 我已经用了3年, 一直没问题.
之前也是碰到你同样的问题, 不仅外面发进来, 连内部也在冒用他人邮箱发恶意邮件, 导致老板很不高兴.
http://www.5dmail.net/bbs/thread-155370-1-1.html

[ 本帖最后由 atong999888 于 2006-7-9 18:10 编辑 ]

feitianxiang · 发表于 2006-7-9 12:51:21

smtp协议本身设计就这样的。发信可以匿名发信的。不需要帐号。
不然外面的人怎么给你发信啊。
当然，如果你只希望自己公司内部发信，那可以把要求身份验证，选上。呵呵，不过这样的话，外面的人是不能向你公司邮箱发信的。

可以在策略和一些设置上做严格的设置，结合使用第三方软件来控制和减少垃圾邮件。

yinjie · 发表于 2006-7-7 22:22:01

这不是一个漏洞，这是协议的设计使然。如果每个人都要有你公司的帐户才能给你发邮件，岂不是很奇怪，我从SINA给你发邮件，也需要有你公司的用户？所有的外部域邮件信息对于你的域和组织都是不存在的，不是吗。事实上你不需要建立你的组织域的邮件，你可以随意写邮件，都可以发，不信你自己试试。但前提是只能发到组织内（也就是收件人一定是组织内的用户）。此外，邮件系统默认情况不会对组织内的邮件的目标进行有效性校验，换句话说，我可以随意发邮件给你的组织内的用户（无论它是否存在），你的服务器都要处理它，而对于有效的目标则投递，无效的目标则发送NDR。当然你可以采取措施要求服务器对不存在的用户目标进行拒绝，但这样会带来字典探测的危险。不具体说了。

kevin_zhouwei · 发表于 2006-7-7 17:25:55

关闭匿名访问以后，根本就没办法发送邮件呀！
这样我认为是一个很大的漏洞呀，因为很多垃圾邮件发送者如果想向我公司内部发送邮件的话，就直接建立一个不存在的帐号就OK了呀！

yinjie · 发表于 2006-7-7 15:34:21

当然，组织内发信不需要验证，除非你关闭匿名访问SMTP服务器

kevin_zhouwei · 发表于 2006-7-7 14:52:09

钉子版主帮帮忙呀！

		自动登录	找回密码
密码			会员注册

[求助] foxmail和outlook等客户端工具任意建立一个不存在的帐号都可以给公司邮箱发邮件

浏览过的版块