smtp的

smtp是简单邮件传输协议（定义在rfc 821 ） 。 除其他任务外，其工作，是要接收电子邮件，接受连接， tcp端口25 ，从偏远的邮件服务器。 默认情况下，在unix来与sendmail的纲领，是一个历史悠久的节目实现了smtp协议（多） 。

smtp的风险

sendmail的是这些方案中，每管理人似乎从未听过。 其历史上的安全问题已是人所共知。 它可以是最中伤unix软件还撰写了。 与此美誉，它应该明确指出，事情是根本错误的，与sendmail的和有问题，其整体设计。

但是，安全的sendmail也有了明显改善，近年来由于努力，它的作者，李家祥从allman ，为了响应众多安全问题，它遭受了。 这是值得商榷的，但是否sendmail的，是完全"脱离险境" ，或者永远不能，因为它的设计。

而不是重复历史的安全漏洞，在这里， （我不认为这有空间） ，这些都是一些一般性的问题，默认安装的sendmail介绍：

• sendmail的，是"又一个守护进程" ，即违背了作为根。 因此，可利用的脆弱性在sendmail意味着要远离根攻击。 即使根润计划可能暂时下降的特权，攻击者可以运行shellcode （通过一个缓冲区溢出或字符串格式剥削） ，可以简单地作出呼吁seteuid （ ） ，以重新确立这些特权，并有自己的壳代码运行作为扎根。

• sendmail的，是令人难以置信的复杂，其配置文件中使用的m4 -民族团结政府的执行情况tion的unix的宏观处理器。 很少人真正了解的m4 ，更少了解sendmail的配置。 因此，人们很容易作出错误和努力来锁定它，如果没有帮助，从外面。

• sendmail的，可以用来争取用户。 由连接到端口25和发行vrfy和首创指挥，使sendmail的，将确认有效的用户名。 这是第一步，在接手一个帐户。 攻击者便可以使用远程登录服务，并尝试猜测密码。 这种猜测攻击，可以自动完成，并利用一个大字典的共同用户，以增加机会，找到一个有效的用户名。

•旧版本的sendmail的垃圾邮件发送中继邮件通过你的系统。 除了利用你的资源，这可以使你很不得人心的，并导致您的网站被列入乡（实时黑洞名单上的http://mail-abuse.org/rbl/ ） 。 这无疑是个坏消息告诉你，因为任何邮件服务器你的站点试图连接到会下降的联系，如果他们跟随乡名单。

•如果错误地配置， sendmail的泄露内部地址信息，向外界。 攻击者可以传送探头电子邮件给一家公司的邮件服务器。 通过发送恶意信息，他们可以引起反弹的信息，其中可能包括内部ip地址。 本次助攻，攻击者在映射内部网络。

• sendmail的守护进程产出，其版本号后，客户端连接。 这种信息有利于攻击者选择有关剥削。

争取的smtp

根据我的经验，很少机，对一个组织的网络实际需要加以听了邮件，他们只是碰巧，因为sendmail的，是积极的默认。 把它简单地说，请不要运行邮件传输，除非你需要它。 关掉你的邮件传输代理，并不影响你的系统的能力，真正发送电子邮件（如为输出克朗工作） 。

•考虑使用qmail不是sendmail的。 它已被设计和编码后，具有完善的安全原则，并已是一个令人印象深刻的安全记录为零的安全漏洞。 访问http://www.qmail.org/更详细的信息。 最近版本的qmail更进一步，为缓解人口从sendmail的。 qmail是提供一个广泛的平台。

• postfix （正式名称为人所知） ，写的仆人venema ，是一个受欢迎的sendmail兼容替代书面要快，易于安装和安全。 全部细节都在http://www.postfix.org/ 。 如果你不能面对qmail ，检查出postfix 。

如果您必须运行sendmail的，请不要运行它作为根建立的chroot环境而言，它作为一个非特权用户。 罗素焦化已详细介绍了如何他这是否在http://www.coker.com.au/ 〜罗素/ sendmail.html 。

-一项常见的误解，其中管理员是s endmail的需要得到倾听大家的网络，以发送一封邮件从本地机器。 虽然这是默认的就很多制度，但并没有规定。 sendmail的，可引用经克朗与"调q "旗帜，以服务排队等候离港信息定期通报。 如果所有你要的是能够发送邮件，然后禁用sendmail的启动脚本-你不需要听sendmail的港口25个。

注

作者qmail和postfix已公开争执了很多次，对与安全有关的邮件列表。 很显然，没有爱情失去它们之间的，因为他们设法找出安全漏洞，在对方的软件。 虽然这可能不是一个愉快的视线，以不了解情况，它是否给予了宝贵的洞察到安全问题，面临着设计师的邮件传输代理（ mta ） ，例如当他的弱点以及如何避免他们。 底线是，如果你想安全的邮件服务器，使用专用，硬化系统与壳牌公司获得给值得信赖的用户只