SMTP安全手册—Sendmail服务器安全

　3、避免你的Sendmail被未授权的用户滥用
　　最新版本的Sendmail (8.9.3)加入了很强的防止欺骗的特性。它们可以防止你的邮件服务器被未授权的用户滥用。编辑你的"/etc/sendmail.cf"文件，修改一下这个配置文件，使你的邮件服务器能够挡住欺骗邮件。

　　编辑"sendmail.cf"文件（vi /etc/sendmail.cf）并更改下面一行：

　　O PrivacyOptions=authwarnings

　　改为：

　　O PrivacyOptions=authwarnings,noexpn,novrfy

　　设置"noexpn"使sendmail禁止所有SMTP的"EXPN"命令，它也使sendmail拒绝所有SMTP的"VERB"命令。设置"novrfy"使sendmail禁止所有SMTP的"VRFY "命令。这种更改可以防止欺骗者使用"EXPN"和"VRFY"命令，而这些命令恰恰被那些不守规矩的人所滥用。

　　4、SMTP的问候信息
　　当 sendmail接受一个SMTP连接的时候，它会向那台机器发送一个问候信息，这些信息作为本台主机的标识，而且它所做的第一件事就是告诉对方它已经准备好了。

　　编辑"sendmail.cf"文件（vi /etc/sendmail.cf）并更改下面一行：

　　O SmtpGreetingMessage=$j Sendmail $v/$Z; $b

　　改为：

　　O SmtpGreetingMessage=$j Sendmail $v/$Z; $b NO UCE C=xx L=xx

　　现在手工重起一下sendmail进程，使刚才所做的更改生效：

　　[root@deep]# /etc/rc.d/init.d/sendmail restart

　　以上的更改将影响到Sendmail在接收一个连接时所显示的标志信息。你应该把"`C=xx L=xx"条目中的"xx"换成你所在的国家和地区代码。后面的更改其实不会影响任何东西。但这是"news.admin.net-abuse.email"新闻组的伙伴们推荐的合法做法。

　　5、限制可以审核邮件队列内容的人员
　　通常情况下，任何人都可以使用"mailq"命令来查看邮件队列的内容。为了限制可以审核邮件队列内容的人员，只需要在"/etc/sendmail.cf"文件中指定"restrictmailq"选项即可。在这种情况下，sendmail只允许与这个队列所在目录的组属主相同的用户可以查看它的内容。这将允许权限为0700的邮件队列目录被完全保护起来，而我们限定的合法用户仍然可以看到它的内容。

　　编辑"sendmail.cf"文件（vi /etc/sendmail.cf）并更改下面一行：

　　O PrivacyOptions=authwarnings,noexpn,novrfy

　　改为：

　　O PrivacyOptions=authwarnings,noexpn,novrfy,restrictmailq

　　现在我们更改邮件队列目录的权限使它被完全保护起来：

　　[root@deep]# chmod 0700 /var/spool/mqueue

　　注意：我们已经在sendmail.cf中的"PrivacyOptions="行中添加了"noexpn"和"novrfy"选项，现在在这一行中我们接着添加"restrictmailq"选项。

　　任何一个没有特权的用户如果试图查看邮件队列的内容会收到下面的信息：

　　[user@deep]$ /usr/bin/mailq

　　You are not permitted to see the queue

　　6、限制处理邮件队列的权限为"root"
　　通常，任何人都可以使用"-q"开关来处理邮件队列，为限制只允许root处理邮件队列，需要在"/etc/sendmail.cf"文件中指定"restrictqrun"。

　　编辑"sendmail.cf"文件（vi /etc/sendmail.cf）并更改下面一行：

　　O PrivacyOptions=authwarnings,noexpn,novrfy,restrictmailq

　　改为：

　　O PrivacyOptions=authwarnings,noexpn,novrfy,restrictmailq,restrictqrun

　　任何一个没有特权的用户如果试图处理邮件队列的内容会收到下面的信息：

　　[user@deep]$ /usr/sbin/sendmail -q

　　You do not have permission to process the queue

　　7、在重要的sendmail文件上设置不可更改位
　　可以通过使用"chattr"命令而使重要的Sendmail文件不会被擅自更改，可以提高系统的安全性。具有"+i"属性的文件不能被修改：它不能被删除和改名，不能创建到这个文件的链接，不能向这个文件写入数据。只有超级用户才能设置和清除这个属性。

　　为"sendmail.cf"文件设置不可更改位：

　　[root@deep]# chattr +i /etc/sendmail.cf

　　为"sendmail.cw"文件设置不可更改位：

　　[root@deep]# chattr +i /etc/sendmail.cw

　　为"sendmail.mc"文件设置不可更改位：

　　[root@deep]# chattr +i /etc/sendmail.mc

　　为"null.mc"文件设置不可更改位：

　　[root@deep]# chattr +i /etc/null.mc

　　为"aliases"文件设置不可更改位：

　　[root@deep]# chattr +i /etc/aliases

　　为"access"文件设置不可更改位：

　　[root@deep]# chattr +i /etc/mail/access

　　8、Sendmail环境下的防止邮件relay
　　从8.9版本开始，缺省的是不允许邮件转发(mail relay)的。最简单的允许邮件转发的方法是在文件/etc/mail/relay-domains中进行设置。该文件中列出的域名内的信件都允许通过本地服务器进行邮件转发。

　　为了更精确的设置，可以在sendmail.mc中添加如下几个参数允许被用来设置邮件转发：

　　· FEATURE(relay_hosts_only). 通常情况下，在文件/etc/mail/relay-domains中列出的域名的主机都允许通过本地机转发，而该设置指示指定必须罗列出每个允许通过本机转发邮件的主机。

　　· FEATURE(relay_entire_domain). 该参数指示允许所有本地域通过本机进行邮件转发。

　　· FEATURE(access_db). 该参数指定利用哈希数据库/etc/mail/access来决定是否允许某个主机通过本地进行邮件转发。

　　· FEATURE(blacklist_recipients).若该参数被设置，则在决定是否允许某个主机转发邮件时同时察看邮件发送着地址和邮件接受者地址。

　　· FEATURE(rbl).允许基于maps.vix.com由黑名单(Realtime Blackhole List)进行邮件拒绝，以防范垃圾邮件。

　　· FEATURE(accept_unqualified_senders).允许接受发送者地址不包括域名的邮件，例如user，而不是user@B.NET。

　　· FEATURE(accept_unresolvable_domains).通常来讲，sendmail拒绝接受发送者邮件地址指定的主机通过DNS不能解析的邮件，而该参数允许接收这种邮件。

　　· FEATURE(relay_based_on_MX).该参数允许转发邮件接受者地址的MX记录指向本地的的邮件，例如，本地接收到一个发送目的地址为user@b.com的邮件，而b.com域名的MX记录指向了本地机器，则本地机器就允许转发该邮件。

　　下面几个特性可能会有安全漏洞，一般当邮件服务器位于防火墙后时才应该使用，因为这些参数可能导致你的系统易于被垃圾邮件发送者利用。

　　· FEATURE(relay_local_from). 该参数指定若消息自称源于本地域，则允许转发该邮件。

　　· FEATURE(promiscuous_relay). 打开对所有的邮件的转发。

　　宏配置文件"sendmail.mc"设置成功以后，可以用下面的命令创建sendmail的配置文件：

　　[root@deep]# cd /var/tmp/sendmail-version/cf/cf/

　　[root@deep]# m4 ../m4/cf.m4 /etc/sendmail.mc > /etc/sendmail.cf

　　注意：这里"../m4/cf.m4"告诉m4程序的缺省配置文件路径。