Postfix 2.9 或 sendmail，发送垃圾邮件预防（检查发件人是否存在）

Question 1

期待此图，有三种独立的邮件可以进入postfix、sendmail（通过pickup）、smtpd、qmqpd的入口。最后一个入口在这里很少使用。

当电子邮件发送通过邮件传输协议，则电子邮件来源可能来自外部（从 127.0.0.1 连接时除外）。外部电子邮件被视为不受信任显然。因此，postfix 具有阻止它的标准功能，例如 RBL 检查器、开放中继检查器、黑名单/白名单等。请参阅Postfix SMTP 中继和访问控制。

默认情况下，服务器的 IP 地址和 127.0.0.1 被视为值得信赖因为任何人只要能从这个主机连接，除了垃圾邮件之外，他们还可能造成进一步的破坏。例如：如果脚本已上传到网络服务器，则他们可能导致删除网络根目录、植入后门等行为。

其他值得信赖邮件入口是通过发送邮件/邮件程序。基本上，当 php 调用邮件函数或您从终端调用邮件时，您会指示 sendmail 将电子邮件放在 postfix 队列中。除非某些人对您的盒子有某种访问权限（例如上传脚本），否则无法调用 Sendmail。

现在，我们准备回答您的主要问题：如何根据数据库检查发件人？

对于 smtpd 连接，您可以使用 postfix 功能Postfix SMTP 中继和访问控制check_sender_access 再次检查您的用户数据库。我无法向您提供详细信息，因为我从未使用过 Plesk。对于 sendmail/mail 命令，您需要 postfix内容检查（milter 或队列内容过滤器之后）因为上述过滤器不受电子邮件来源的影响。

Answer

期待此图，有三种独立的邮件可以进入postfix、sendmail（通过pickup）、smtpd、qmqpd的入口。最后一个入口在这里很少使用。

当电子邮件发送通过邮件传输协议，则电子邮件来源可能来自外部（从 127.0.0.1 连接时除外）。外部电子邮件被视为不受信任显然。因此，postfix 具有阻止它的标准功能，例如 RBL 检查器、开放中继检查器、黑名单/白名单等。请参阅Postfix SMTP 中继和访问控制。

默认情况下，服务器的 IP 地址和 127.0.0.1 被视为值得信赖因为任何人只要能从这个主机连接，除了垃圾邮件之外，他们还可能造成进一步的破坏。例如：如果脚本已上传到网络服务器，则他们可能导致删除网络根目录、植入后门等行为。

其他值得信赖邮件入口是通过发送邮件/邮件程序。基本上，当 php 调用邮件函数或您从终端调用邮件时，您会指示 sendmail 将电子邮件放在 postfix 队列中。除非某些人对您的盒子有某种访问权限（例如上传脚本），否则无法调用 Sendmail。

现在，我们准备回答您的主要问题：如何根据数据库检查发件人？

对于 smtpd 连接，您可以使用 postfix 功能Postfix SMTP 中继和访问控制check_sender_access 再次检查您的用户数据库。我无法向您提供详细信息，因为我从未使用过 Plesk。对于 sendmail/mail 命令，您需要 postfix内容检查（milter 或队列内容过滤器之后）因为上述过滤器不受电子邮件来源的影响。

Question 2

最后我找到了解决办法使用 header_checks 过滤外发垃圾邮件，尽管我不知道它有多么有效和高效。

警告：

这种缓解技术解决方案并不能清除感染。
它仅当攻击使用真实域名和虚假用户名或电子邮件帐户作为发件人发送垃圾邮件时才有用（From:）。
当感染使用其他域名作为发件人（From:）时，此正则表达式无法生效。

鉴于/usr/sbin/sendmail受感染脚本会使用随机不存在的邮件账户发送垃圾邮件（即[电子邮件保护])，而不是真实账户作为发送者（即[电子邮件保护]), 可以使用 postfix 内置的内容检查来检查邮件头header_checks如下：

#/etc/postfix/main.cf
# add it for example before TLS paramaters
# Anti-SPAM options
header_checks = pcre:/etc/postfix/header_checks

header_checks 文件中的正则表达式应该排除域的任何真实用户（即 user1、user2、...）：

#/etc/postfix/header_checks
/^From:((?![^@]*?user1|[^@]*?user2|[^@]*?user3|[^@]*?webmaster)[^@]*?)@my-domain\.tld/ REJECT invalid sender

正则表达式的解释（对于任何更改都可以使用此正则表达式测试器)：

[^@]除以下字符之外的任何字符@
[^@]*?除之外的任意字符，@零次或多次，惰性非贪婪（*?）。
(?!user1|user2|etc)具有替代方案的负面前瞻：丢弃域中的真实用户。
(?![^@]*?user1|[^@]*?user2|etc)允许每个用户的电子邮件地址前有字符。

在任何更改之前都可以通过以下方式进行测试（第一个通过，第二个被拒绝）：

$ postmap -q "From: [email protected]" pcre:/etc/postfix/header_checks
$ postmap -q "From: [email protected]" pcre:/etc/postfix/header_checks
REJECT invalid sender
$

甚至可以使用感染期间捕获的消息头文件进行测试（注意：这里的破折号很重要）：

$ postmap -q - pcre:/etc/postfix/check_headers < captured_headers.txt
From: "[email protected]      REJECT invalid sender
From: "[email protected]      REJECT invalid sender
$

测试完成后，如果达到预期结果，只需重新启动 Postfix：

# service postfix restart
 * Stopping Postfix Mail Transport Agent postfix                [ OK ]
 * Starting Postfix Mail Transport Agent postfix                [ OK ]

要检查其进展情况，可以使用一个命令：

# tail -n 10000 /var/log/mail.log | grep reject
or
# tail -n 10000 /var/log/mail.log | grep 'invalid sender'

希望这对其他人有帮助。

编辑

正则表达式的一些修正：

#/etc/postfix/header_checks
/^From:(?![^@]*?user1@|[^@]*?user2@|[^@]*?user3@|[^@]*?webmaster@)([^@]*?@my-domain\.tld)/
REJECT invalid sender $1

Postmap 检查运行良好，但 Postfix 未过滤该域的伪造电子邮件用户（上次感染时未过滤）。我不知道为什么。

Answer