Postfix: VRFY Command

leonex · 25. Juli 2013

Hallo,

LiveConfig sollte unbedingt folgende Option standardmäßig mit in die main.cf aufnehmen:

Code

disable_vrfy_command = yes

Standardmäßig ist der VRFY Command aktiviert und damit ist es sehr einfach Accounts auf dem Server ausfindig zu machen (zB für Spam oder gezielte Bruteforceattacken etc):

Code

$ telnet lc1 25
Trying .......
Connected to lc1.
Escape character is '^]'.
220 lc1 ESMTP Postfix
VRFY root
252 2.0.0 root
VRFY www-data
252 2.0.0 www-data
VRFY info@liveconfig......de
252 2.0.0 info@liveconfig......de
VRFY this-user-does-not-exist
550 5.1.1 <this-user-does-not-exist>: Recipient address rejected: User unknown
QUIT
221 2.0.0 Bye
Connection closed by foreign host.

Alles anzeigen

arnoldB · 25. Juli 2013

Nach einem kurzen Blick in die postfix.lua sieht es aber so aus, dass spätestens nach dem RCPT TO (check_recipient_access) abgebrochen wird. Die o.g. Einstellung macht durchaus Sinn, verzögert m.M.n. allerdings nur den Angreifer.

suppenuser · 25. Juli 2013

Zitat von arnoldB

Nach einem kurzen Blick in die postfix.lua sieht es aber so aus, dass spätestens nach dem RCPT TO (check_recipient_access) abgebrochen wird. Die o.g. Einstellung macht durchaus Sinn, verzögert m.M.n. allerdings nur den Angreifer.

Jep. check_recipient_access macht definitiv Schluss mit der Abfrage.

kk · 25. Juli 2013

Danke, das ist eine gute Idee. Wurde eben in die Konfiguration aufgenommen (ist also mit dem nächsten Update enthalten).

Viele Grüße

-Klaus Keppler

Jetzt mitmachen!