與垃圾郵件制造者過(guò)招
對(duì)于一個(gè)網(wǎng)絡(luò)管理員來(lái)說(shuō)，垃圾郵件的困擾并不是接收這些垃圾郵件，而是試圖防止垃圾郵件發(fā)送者使用你的郵件服務(wù)器來(lái)進(jìn)行中繼轉(zhuǎn)發(fā)，這項(xiàng)工作很關(guān)鍵，因?yàn)橐坏┧麄兪褂媚愕泥]件服務(wù)器做為轉(zhuǎn)發(fā)站，除了耗費(fèi)昂貴的帶寬資源、導(dǎo)致服務(wù)器速度下降以及使你承受重壓，你也許還可能很快就被大家的“黑名單”搞得暈頭轉(zhuǎn)向，當(dāng)這種情況發(fā)生時(shí)，你的用戶的郵件發(fā)送可能會(huì)時(shí)斷時(shí)續(xù)，你也只能耗費(fèi)許多計(jì)劃外的時(shí)間來(lái)清理系統(tǒng)并擺脫這些禁止名單。
當(dāng)然，幾乎每個(gè)網(wǎng)絡(luò)管理員都對(duì)“開放中繼”的概念、它有什么壞處以及典型的解決方案等非常熟悉，這些解決方案有諸如對(duì)某些IP地址的限制性中繼服務(wù)或者需要認(rèn)證等實(shí)現(xiàn)方式。但是許多網(wǎng)絡(luò)管理
員也許沒(méi)有沒(méi)有意識(shí)到現(xiàn)在的垃圾郵件發(fā)送者已經(jīng)變得更加老謀深算了。
作為一個(gè)測(cè)試演練，我上周和這周設(shè)立了幾個(gè)郵件服務(wù)器，既使用了微軟的Exchange也使用了一些免費(fèi)的SMTP/POP3服務(wù)器軟件，并且建立了我自己的協(xié)議分析器（ClearSight）以便于我能夠觀察發(fā)生的情況，面對(duì)發(fā)生的情況，我必須承認(rèn)我感到相當(dāng)震驚。
正如你可能想到的那樣，他們很快就發(fā)現(xiàn)了我的服務(wù)器，即使我要求對(duì)中繼請(qǐng)求進(jìn)行認(rèn)證，我很快就開始看見成千上萬(wàn)包含虛假源地址的郵件源源不斷的通過(guò)我的Exchange服務(wù)器，我甚至看不到任何郵
件進(jìn)入我的本地文件夾。同時(shí)，我還發(fā)現(xiàn)他們已經(jīng)發(fā)現(xiàn)并利用了一個(gè)系統(tǒng)Bug（可能與SQL服務(wù)器相關(guān)），這樣就導(dǎo)致我的服務(wù)器自動(dòng)產(chǎn)生他們需要的郵件——都不需要進(jìn)行轉(zhuǎn)發(fā)了。
所以我拋棄Exchange并開始使用其他的免費(fèi)服務(wù)器軟件，然而，這讓我的監(jiān)控過(guò)程變得更加有趣，也使我對(duì)攻擊的多樣性感到震驚。盡管中繼轉(zhuǎn)發(fā)的企圖最初總是遭遇到服務(wù)器發(fā)出的“503-This
mail server requires authentication（這個(gè)郵件服務(wù)器要求認(rèn)證）”的返回信息，我還是很快再次看到垃圾郵件蜂擁而至，他們甚至猜到了“Postmaster(郵箱管理員)”帳號(hào)的密碼并且使用郵箱管理員身份
發(fā)送郵件。
我將“Postmaster(郵箱管理員)”帳號(hào)禁用后，我仍然看到了許多利用偽造的SMTP命令進(jìn)行登陸、使用錯(cuò)誤Email源地址以及其他諸如在一個(gè)會(huì)話中傳送幾個(gè)RSET命令這樣的事情發(fā)生（因?yàn)樵S多服務(wù)器都允許你使某些命令失效）。這時(shí)，我意識(shí)到這很可能就是我的服務(wù)器時(shí)常斷開某個(gè)連接的原因所在了，因?yàn)樗呀?jīng)被設(shè)置成當(dāng)接收到指定數(shù)目的錯(cuò)誤命令后，就會(huì)斷開這個(gè)連接，所以我就將這個(gè)值（指定數(shù)目）設(shè)置得非常低。
我還注意到多數(shù)的中繼轉(zhuǎn)發(fā)嘗試都來(lái)自同一個(gè)IP地址，所以我就在我的防火墻中封掉該IP地址，幾分鐘后，我收到了從另一個(gè)不同地點(diǎn)的另一個(gè)不同的IP地址發(fā)來(lái)的同樣內(nèi)容的垃圾郵件，我再次將此IP地址阻塞掉，垃圾郵件再次從第三個(gè)源頭發(fā)送過(guò)來(lái)。非常明顯，在它們之間還保持連接的時(shí)候，它們似乎非常樂(lè)意接收到認(rèn)證失敗的通知，但是一旦它們不能在25端口上建立一個(gè)TCP連接，它們將馬上轉(zhuǎn)換源地址。
當(dāng)我選擇拒收所有來(lái)自非法域內(nèi)的郵件的時(shí)候，我發(fā)現(xiàn)了一個(gè)非常有趣的副作用，雖然拒收這些郵件看起來(lái)仿佛對(duì)于我來(lái)說(shuō)是件好事情，因?yàn)檫@些成千上萬(wàn)的垃圾郵件都是來(lái)自一個(gè)充滿ASCII碼垃圾的Email地址。
然而，我所發(fā)現(xiàn)的是，即使我的認(rèn)證要求阻斷了垃圾郵件的中繼企圖，我的服務(wù)器仍然為這些垃圾郵件發(fā)送者的域名發(fā)送DNS（域名服務(wù)）請(qǐng)求，結(jié)果就造成了大量的DNS請(qǐng)求，更糟的是，它們?cè)丛床粩嗟禺a(chǎn)生DNS請(qǐng)求，然后突然每分鐘發(fā)送幾千個(gè)請(qǐng)求，幾乎是對(duì)DNS服務(wù)器的DoS攻擊（拒絕服務(wù)攻擊），在這種通信狀況下，我只好取消了拒收這些郵件的設(shè)置。
如果你正在監(jiān)管郵件服務(wù)器，我建議你定期花費(fèi)幾分鐘，使用Sniffer工具確保你的服務(wù)器沒(méi)有中招，我也鼓勵(lì)你經(jīng)常給你的系統(tǒng)打補(bǔ)丁，重命名或禁用所有標(biāo)準(zhǔn)帳號(hào)，全面了解你的服務(wù)器支持的安全特性。垃圾郵件傳播者（spammer）變得越來(lái)越狡猾，我們必須變得更有經(jīng)驗(yàn)，千萬(wàn)不要僅僅依靠身份認(rèn)證或者IP尋址來(lái)抵御垃圾郵件的侵襲。
【編輯推薦】
