校园网上大多数邮件服务器都是UNIX系统,包括Solaris, HPUX, AIX, IRIX,Linux等等,其中最通用的配置是运行sendmail和popper服务软件。Sendmail是SMTP服务器，专门负责接收和发送邮件；而popper是通过POP3协议来专门负责用户读取和处理邮件的请求。目前邮件服务器所受的攻击主要有下面两类: 6 E! V! e5 E4 @* k6 b! S$ `/ G
" q. B/ Z5 c. Z& y7 c1 q
1.中继利用(Relaying)。比如国外的用户通过你的邮件服务器给不属于你本地的用户发邮件,这样, 他的国际流量都记载在你的邮件服务器上。在SendmailV8.8之前的版本都不能防止这一类攻击。
( o2 `; |! y5 j/ h. o; ]' g( g" l( w% _% v' z& O
2.垃圾邮件(Spamming),也叫邮件炸弹。这种情形是指邮件服务器或某个用户在很短的时间内收到大量无用的邮件,而且通常是从某一虚设的地址发来的。
0 C% q5 U, I3 h/ [( |$ v
6 D) }8 ~3 J# Q) Y B6 T# h* t7 v8 o这两类的攻击都是通过sendmail进行的。那么, 如何来防卫这两类的攻击呢? 最直接的方法就是安装 SendmailV8.8以上版本,因为在V8.8以上版本的Sendmail中已经提供了很好的功能来对付这些邮件攻击，Sendmail V8.8.x之前的版本都没有提供一定的机制来对付这种攻击。。下面我们就说明SendmailV8.9.3中是如何实现这些机制的。 2 I9 w! N. W2 @$ }7 J
! ?* ^5 F! E5 |! H
1.Sendmail如何防止邮件攻击 . o0 u7 h1 ]+ ^
, ?' g# j2 j" t/ t. F5 |) A我们知道，sendmail8.9.x的缺省配置是不允许邮件中继的。但通常我们不应屏蔽所有的邮件中继，至少本地子网中的IP地址是许可中继的。Sendmail提供了一些配置文件是我们可以根据自己的需要灵活配置，这些文件主要有:
$ P2 ~2 D1 l- C+ x& `: w7 j/ ^- O( y+ C2 X2 o9 v9 {
a．/etc/mail/relay-domains * v# }0 Q8 F0 l/ R0 }4 Q6 v3 Q" N% P
在该文件中你可以设定那些你许可中继的域，比如 cs.pku.edu.cn来允许所有计算机系有域名的机器可以通过你的服务器发邮件。注意每次修改该文件后必须重新启动sendmail后，新的配置才起作用。
$ Q: h+ y: c& s# V1 y( N& m1 L
( N+ ?" ]) y4 S! k# Mb．/etc/mail/access
- ^7 p3 X; d7 @/ Y& b! C( M, O- @' L在该文件中，你可以根据域名、IP或 发送方的邮件地址（From 域）来允许或屏蔽中继或邮件轰炸。Access是一个正文文件，其中每项由一个地址做关键字，而一个动作做值。地址可以是域名如 host.subdomain.domain.com,subdomain.domain.com 或 domain.com,也可以是网络地址，子网地址，或单个IP地址，如205.199,205.199.2,或205.199.2.200；还可以是邮件地址,如 sam@netscape.com。下面我们看一个Access文件实例:
3 G: J8 E/ Q# u) f' u! W+ Fcyberpromo.com REJECT 7 V5 A4 f' \' y; c
cs.pku.edu.cn RELAY 7 R0 a) M! K6 S' e5 h
spam@buyme.com 550 Spammers shan’t see sunlight here
5 c" ]0 P7 J/ O$ {+ C7 S: z: r& A- f1 A4 p, t8 p
在该配置文件中，拒绝所有从 cyberpromo.com来的邮件，许可从cs.pku.edu.cn来的邮件中继，拒绝从发送方地址为spam@buyme.com来的邮件，并返回给他一个确定信息。Access文件中的动作值有下面几类：
* l: w* [7 {; UOK--接收邮件，即使和其他规则不符，如不可查询的域名。
7 {- `, [; q$ w* O- R9 URELAY--允许通过你的SMTP服务器中转邮件。
- I+ e/ w5 O7 T1 RREJECT--拒绝从指定地址来的邮件。 ( Y; N9 s# @2 J4 e
DISCARD--将收到的指定地址的邮件交给 #discard mailer 处理，该功能只作用于发送方地址。
( d7 ~5 W' Y! E+ x### any text --其中 ###是 RFC821 出错码，“any text”是返回该命令的信息。
1 w w4 [$ [2 D
8 D. H, p- c( ^' k) l: I& J- k5 ]由上可知，通过access 文件，可以对邮件中继和邮件轰炸进行有效的防卫。一旦你发现某个地址在进行攻击，就可将其加入到access文件中。要使每一次的修改有效，你都要重新生成 access的数据库文件，通过下面的命令：
, G, t8 v. ?8 fmakemap hash access.db < access
: @6 {# X3 w+ ~9 ?, L
9 P r( k) O ~ y' X但每次的修改不需要重新启动sendmail进程。
' c X- g3 z5 z' _
+ j" }( }. c* t# T" Z另外， 我们能对邮件的大小进行限制，在sendmail的配置文件sendmail.cf中有一项可用来设置邮件大小： 6 o+ h2 b: M1 ^/ g: r' X$ _6 P
#maximum message size 2 v6 e+ w: w. N$ Z) R0 X
O MaxMessageSize = 1000000 " a" J ]! F0 h7 O
. i! k5 D. I, w1 |! U+ `7 U这样，sendmail只处理大小为1兆之内的邮件,大于1兆的邮件都拒收。
; s' A4 u( U3 v& y/ ?: a2 z. S* J9 n. }& A# g
2.还存在的问题 6 q, C$ C: @3 |0 g
6 j& R) z9 y: x! e" }通过上面的配置文件基本上可以对邮件攻击进行有效的抵制。唯一存在的问题是我们不能事先知道所有的邮件炸弹从哪儿来，只能等出现后才能禁止。而且目前大多数邮件客户软件都许可用户随便设置发送方地址，这也使得防范邮件攻击更复杂。通常我们设立一个专门用来就接收用户举报的邮件地址,如 abuse@pku.edu.cn, 这样系统管理员可及时得到YO邮件攻击消息，并采取相应的措施。
) ?9 u0 b( S/ X( ~- L+ ?, U& m% k. Z" s8 [
另外，目前我们还不能根据邮件内容进行过滤，现在很多邮件都是MIME格式的，可能是二进制文件、图形、声音,各种语言的文字或加密文件，所以，对邮件内容进行过滤不是一件简单的关键词匹配的问题。如何解决该问题还有待探讨。 . q! d3 c1 U1 i, m* h
, [3 h+ ~. q& A: z- u
|
发表于 2003-12-3 12:34:00
