来自 Telnet 的电子邮件服务器攻击

Question 1

那个特殊且无效的 EHLO 参数“ylmf-pc”是广泛传播的垃圾邮件僵尸网络“PushDo”（有时也称为“Cutwail”）的已知指纹。如您的记录所示，它主要尝试猜测密码以通过您的服务器进行身份验证和发送邮件。阻止它向您的服务器发送垃圾邮件或通过您的服务器发送垃圾邮件很容易，因为它具有三个特点：

它实际上在收到目标 MTA 发送的 SMTP 横幅之前发送了 EHLO 命令，任何值得使用的现代 MTA（例如，可能不是 Exchange 或 QMail）都可以检测到这种行为，这是不受欢迎的纯垃圾邮件客户端的明确迹象。没有合法的 SMTP 客户端会表现出这种“快言快语”的行为，因为它破坏了基本的 SMTP 功能。
字符串“ylmf-pc”不是有效的 EHLO 参数，因为它不是完全合格的主机名或括号括起来的 IP 地址文字。任何合法的 SMTP 客户端都不会使用该参数。与 fast-talk 行为一样，任何像样的 MTA 都可以配置为拒绝使用本质上无效的 EHLO 参数的客户端的邮件。
几乎所有受 PushDo/Cutwail 感染的成员都通过其“CBL”组件列在免费的 zen.spamhaus.org DNSBL 中。即使您无法阻止快速说话或使用虚假 EHLO 参数，您也应该能够根据 DNSBL 进行阻止，而使用 Zen 列表进行阻止几乎普遍是一个不错的选择。

因此，使用配置良好的 MTA 来阻止您的 MTA 接受任何垃圾邮件应该相对容易，但对于您似乎正在使用的“IceWarp”MTA，如何做到这一点最好向供应商询问。解决可能涉及的纯流量问题更加困难，因为单个 PushDo 僵尸可能会尝试打开数百个同时会话，并在一天内多次返回，而任何一天都可能有数十个不同的僵尸主动尝试攻击一台服务器。缓解这种情况的选项可以从 MTA 中获取；例如，可以将最新版本的 Postfix 设置为单方面丢弃快速通话客户端（使用其“postscreen”功能），而不是礼貌地在整个 SMTP 对话过程中配合它们，并且可以对 Sendmail 进行类似配置。为了进一步减少问题，您可以使用日志嗅探工具（如 fail2ban）（在之前的回答中描述）来阻止来自特定 IP 的流量。如果您选择该选项，请注意 PushDo 感染往往会持续很多天，因此您不应该让块过期时间超过一周。

Answer

那个特殊且无效的 EHLO 参数“ylmf-pc”是广泛传播的垃圾邮件僵尸网络“PushDo”（有时也称为“Cutwail”）的已知指纹。如您的记录所示，它主要尝试猜测密码以通过您的服务器进行身份验证和发送邮件。阻止它向您的服务器发送垃圾邮件或通过您的服务器发送垃圾邮件很容易，因为它具有三个特点：

它实际上在收到目标 MTA 发送的 SMTP 横幅之前发送了 EHLO 命令，任何值得使用的现代 MTA（例如，可能不是 Exchange 或 QMail）都可以检测到这种行为，这是不受欢迎的纯垃圾邮件客户端的明确迹象。没有合法的 SMTP 客户端会表现出这种“快言快语”的行为，因为它破坏了基本的 SMTP 功能。
字符串“ylmf-pc”不是有效的 EHLO 参数，因为它不是完全合格的主机名或括号括起来的 IP 地址文字。任何合法的 SMTP 客户端都不会使用该参数。与 fast-talk 行为一样，任何像样的 MTA 都可以配置为拒绝使用本质上无效的 EHLO 参数的客户端的邮件。
几乎所有受 PushDo/Cutwail 感染的成员都通过其“CBL”组件列在免费的 zen.spamhaus.org DNSBL 中。即使您无法阻止快速说话或使用虚假 EHLO 参数，您也应该能够根据 DNSBL 进行阻止，而使用 Zen 列表进行阻止几乎普遍是一个不错的选择。

因此，使用配置良好的 MTA 来阻止您的 MTA 接受任何垃圾邮件应该相对容易，但对于您似乎正在使用的“IceWarp”MTA，如何做到这一点最好向供应商询问。解决可能涉及的纯流量问题更加困难，因为单个 PushDo 僵尸可能会尝试打开数百个同时会话，并在一天内多次返回，而任何一天都可能有数十个不同的僵尸主动尝试攻击一台服务器。缓解这种情况的选项可以从 MTA 中获取；例如，可以将最新版本的 Postfix 设置为单方面丢弃快速通话客户端（使用其“postscreen”功能），而不是礼貌地在整个 SMTP 对话过程中配合它们，并且可以对 Sendmail 进行类似配置。为了进一步减少问题，您可以使用日志嗅探工具（如 fail2ban）（在之前的回答中描述）来阻止来自特定 IP 的流量。如果您选择该选项，请注意 PushDo 感染往往会持续很多天，因此您不应该让块过期时间超过一周。

Question 2

攻击者的 helo 名称无效（ylmf-pc），因为它既不是 FQDN，也不能通过 DNS 解析，因此您可以在发送无效的 EHLO 后阻止他，从而轻松地提前摆脱它。

例如，使用后缀执行此操作，请执行以下操作：

smtpd_helo_restrictions = permit_mynetworks, check_helo_access reject_invalid_helo_hostname, reject_non_fqdn_helo_hostname, reject_unknown_helo_hostname, permit

但还请阅读有关smtpd_helo_restrictions

然后，您可以在一些无效查询进入后使用 fail2ban 阻止他。fail2ban 已经包含了一个 postfix 示例，但我不知道它是否还包含 HELO 错误的规则。您可以根据需要添加它们。

jail.conf：

[postfix-ddos]

enabled  = true
port     = smtp,ssmtp
filter   = postfix-helo
logpath  = /var/log/mail.log
maxretry = 5

filter.d/postfix-helo：

[INCLUDES]
before = common.conf

[Definition]
failregex = reject: RCPT from (.*)\[<HOST>\]: 504 5.5.2

ignoreregex =

这完全足以阻止那些小偷。你可以调低 fail2ban 中的 maxretry 设置来立即阻止攻击，但我不建议这样做。

Answer