Postfix/Qmail/Sendmail身份验证问题探讨

Weikey

marion兄的 postfix全功能邮件系统、许靖Qmail以及Sendmail均存在该漏洞，我已亲测。

实现方法：
1、将“接收邮件服务器”选项“密码”栏，不作任何输入；
2、将“发送邮件服务器”选项“我的服务器要求身份验证”，不勾选；

现在便可以不使用密码，进行发送邮件！

危害：冒用身份发送电邮。

注：
1、上述邮件系统，本人已测试，均可实现！
2、本人提出这些问题，并不是希望大家利用它做非法的事情（否则，后果自负）；而是希望大家一起想办法解决该问题！真诚的希望各位邮件系统高手参与讨论其解决 方案！我代表当和人民感谢你！

E-mail：liu.wei.guo@163.com

[ 本帖最后由 Weikey 于 2008-8-1 14:14 编辑 ]

shamdeng

我没看他的配置参数，不过这个可能是你有postfix中信任了内网的IP地址造成的。$network这个。所以不需要密码也可以的。

MichaelBibby

不过是没有强制身份验证而已，改改参数即可。

不过这样的机器就是 Open Relay 了，原来肉鸡就是这么制造出来的。

Weikey

原帖由 shamdeng 于 2008-7-12 11:30 发表
我没看他的配置参数，不过这个可能是你有postfix中信任了内网的IP地址造成的。$network这个。所以不需要密码也可以的。

兄弟！我将
$network
注释掉了，postfix身份验证问题依旧！

Weikey

原帖由 MichaelBibby 于 2008-7-12 13:32 发表
不过是没有强制身份验证而已，改改参数即可。

不过这样的机器就是 Open Relay 了，原来肉鸡就是这么制造出来的。

大哥：

请问修改哪个参数呢？望赐教！

注：

sasl身份验证里面有一个参数，是针对 outlook 的

broken_sasl_auth_clients = yes

我将其设置为：

broken_sasl_auth_clients = no

以及注释掉，身份验证的问题依旧存在！

Weikey

relay_domains=
该参数是针对信任域的。我将该参数设置为我的域。。
也出现身份验证的问题，我同时发了邮件给自己所在域的用户以及163邮箱！

anthonyfeng

如果没有记错，postfix 里面的 mynetworks 如果没有定义的话，其值就是等于目前的整个网络，如:192.168.1.0/24

尝试如下的修改
mynetworks = 127.0.0.0/8

ruochen

原帖由 MichaelBibby 于 2008-7-12 13:32 发表
不过是没有强制身份验证而已，改改参数即可。

不过这样的机器就是 Open Relay 了，原来肉鸡就是这么制造出来的。

哪个参数？
怎么改？

刘五十三

这么大的漏洞要是有的话，大街上都是relay server了。应该不会。要不你随便扫描几个看看是否是open relay.

思一克

你的"常规"中的MAIL地址写的如果不是本地地址, 就可以.

如果是, 还可以, 对QMAIL,加SMTPAUTH PATCH.