Exim - VRFYとEXPNを無効にしますか？

Question

侵入テストは、メールにEximのを実行している私のサーバーのいずれかで実行されていて、彼らはこの不満を持っている：

説明： VRFYおよび/またはEXPN 要求に、このホストの回答のメールサーバー。 VRFYとEXPNはサーバーに アドレスに関する情報を要求します。 OpenVASは、 のような本当にこの種の情報を公開したい場合は、正当なユーザーが実際に知っているような メカニズムを使用していることを示唆しています。 Fingerまたは HTTP。

解決方法：メールサーバーでVRFYまたはEXPNを無効にします。ポストフィックスの場合は、 'main.cf'に 'disable_vrfy_command = yes'を追加してください。 Sendmailの場合、オプション'O PrivacyOptions = goaway'を追加してください。

残念ながらEximであり、Sendmail/postfixではありません。その出力は、EXPNコマンドを実行すると「550 Administrative prohibition」という応答が生成されることを示しています。私はこれをtelnetでテストしたが正しい。

返信をやめる方法はありますか？事前のおかげで

Answer 1

RFC 2505の状態：

SMTP VRFYとEXPNの両方が彼のリスト上のアドレスは（VRFY）有効で、さらに多くのアドレス（EXPN）を取得するかどうかをテストする可能性スパマーのための手段を提供します。したがって、MTAは誰がこれらのコマンドを発行するべきかを管理すべきである（SHOULD）。これは "オン/オフ"であるか、前述のアクセスリストと同様のアクセスリストを使用する可能性があります。

「VRFY」コマンドは、RFC821,1に従って必須であることに注意してください。

を「アクセス禁止」またはアクセスリスト経由でブロックすると、応答に「252引数がチェックされません」と表示されることがあります。これがデフォルトになります。

Eximのは、TCP/IP接続でVRFYやEXPNコマンドを受信すると、それはかどうかを決定するために、（必要に応じて）acl_smtp_vrfyまたはacl_smtp_expnで指定されたACLを実行し、」ここhttp://www.exim.org/exim-html-current/doc/html/spec_html/ch-smtp_processing.html

eximのドキュメントによると、

VRFYにACLが定義されていない場合、または明示的な応答コードを設定せずに拒否された場合、そのコマンドは受け入れられます（252 SMTP応答コード）。すべてのRCPTの前にVRFYを実行してください。

私にとっては、完全にオフにしているのではなく、常に252を返すことを示唆しています。