Linux黑客大曝光(2)

然后运行：tcprules /etc/tcp.smtp.cdb /etc/tcp.smtp.tmp

qmail-smtpd的命令行后面添加：

-x /etc/tcp.smtp.cdb

postfix在默认情况下总是拒绝邮件中继，服务器处理邮件所进出的网络必须在它第一次运行

前在main.cf中配置，涉及的相关变量有myhostname,mydomain,myorigin,mydestination and

mynetworks。对于许多系统来说，要建立一个可运行的postfix配置，只需要处理这些变量。

不幸的是，因为smtp服务器不知道实际邮件分发的所有细节，时期版本（早于1999年12

月27日）并不对中继请求响应smtp错误码，这样，中继检查程序如ORBS AND RBL会以

为该服务器运行于开发中继方式。将postfix升级到新版可避免这一问题。

垃圾邮件

当前使用最广泛的阻止垃圾邮件的方法是Paul Vixie首创的MAPS(Mail Abuse Prevention

System--按照习惯，这也被看作"spam"的逆序拼写)Realtime Blackhole List 或 RBL.它是通过

DNS实现的服务，列出了知名的垃圾邮件发送站点和被他们中继的服务器。邮件服务器使

用这一基于DNS的垃圾邮件阻塞方法时，对所有与之联系的机器的IP地址执行DNS查询。

如果该IP已被登记，则拒绝来自相应机器的邮件。RBL是另一个开发的，但它只记

录开发中继的邮件服务器。

在sendmail.mc文件中添加如下内容就可防止垃圾邮件的骚扰，不过，对于每一个sendmail

版本，其语法有所不同。

8.9 FEATURE(rbl,`rbl.maps.vix.com')

8.10 FEATURE(dnsbl,1rbl.maps.vix.com',`error message')

8.11 HACK(`check_dnsbl',`rbl.maps.vix.com',`',`general',`reason')

qmail可以结合使用Rblsmtpd和smtpd来阻塞RBL类列出的站点。Rblsmtpd由

tcpserver启动，

postfix要启用基于DNS的垃圾邮件阻塞功能，首先要将maps_rbl_domains变量设置为所要

查询的：

maps_rbl_domains=rbl.vix.com,dul.maps.vix.com

为了省去链接的麻烦，修改cflags变量，添加static参数，直接修改为静态链接(否则在。}如果在vc6.0下，在添加变量时可直接选择需要关联的属性，以上代码也会自动生成，但是vs2010下没有这个选择，所以需要手动添加关联那行代码，注意顺序不能乱。首先，给static控件添加一个control变量（id要改了以后才能添加变量，也就是说id不能为idc_static），本例为m_statictest。

smtpd_client_restrictions = permit_mynetworks,reject_maps_rbl

邮件和拒绝服务攻击

过量的连接会使合法用户邮件无法到达，而邮件会迅速耗尽磁盘空间。因为邮件通常保

存在/var目录下，所以一旦填满，就会对系统造成灾难性影响。日志信息无处可放，而系统

也会最终陷于停顿。

在sendmail中可使用多个选项来限制守护进程使用的资源数量：

MaxDaemonChildren 限制并发运行sendmail进程数，保障cpu不被过度使用。

ConnectionRateThrottle 限制smtp的每秒并发入连连接数量。

MaxRcptsPerMessage 限制单个邮件的接收者数量，也可用于阻止编写拙劣的垃圾邮件。

MaxMessageSize 拒绝尺寸过大的邮件。如果经常通过邮件交换大型文件，则这个限制

会带来问题，但是不论怎么说，使用http,ftp 或scp/sftp来实现文件服务器要更好

一些。

注意：这些值设置过低会导致延误或拒绝正常邮件，因此，在设置前最好检查邮件日志以确

定日常的邮件使用情况。

默认情况下qmail允许同时处理20封外发邮件。如要修改，可在文件

/var/qmail/control/concurrencyremote中设置所需的数值。然后重启。编译该值时设置的上限

为120，但编译前可在conf-spawn中修改。qmail并不实施额外的限制，Bernstein认为进一

步的限制是操作系统的职责。管理员应该在/etc/limits.conf中设置约束，并对/var执行磁盘

配额。要限制队列中邮件的数据，只需在/var中设置qmail用户所能使用的inode上限就可

以了。

1阶神翼：生命值：500 攻击：200 防御：160 格挡：100 暴击：1002阶神翼：生命值：1500 攻击：600 防御：480 格挡：300 暴击：3003阶神翼：生命值：3500 攻击：1400 防御：1120 格挡：600 暴击：6004阶神翼：生命值：7000 攻击：2800 防御：2240 格挡：1000 暴击：10005阶神翼：生命值：13000 攻击：5800 防御：4640 格挡：1800 暴击：18006阶神翼：生命值：21000 攻击：9800 防御：7840 格挡：2800 暴击：28007阶神翼：生命值：31000 攻击：14800 防御：11840 格挡：4000 暴击：4000翅膀属性神创天下翅膀属性。答：实干 平衡认真 平衡坦率 平衡害羞 平衡浮躁 平衡固执 +攻击 -特攻孤独 +攻击 -防御调皮 +攻击 -特防勇敢 +攻击 -速度保守 +特攻 -攻击稳重 +特攻 -防御马虎 +特攻 -特防冷静 +特攻 -速度大胆 +防御 -攻击顽皮 +防御 -特攻无虑 +防御 -特防悠闲 +防御 -速度沉着 +特防 -攻击慎重 +特防 -特攻温顺 +特防 -防御狂妄 +特防 -速度胆小 +速度 -攻击开朗 +速度 -特攻急躁 +速度 -防御天真 +速度 -特防在这里，我发一下努力值面板，按照自己的精灵性格去刷吧。本书由世界顶尖级黑客、开源浏览器漏洞利用框架beef核心开发人员打造，细致讲解了ie、firefox、chrome等主流浏览器及其扩展和应用上的安全问题和漏洞，介绍了大量的攻击和防御技术，具体内容包括：初始控制，持续控制，绕过同源策略，攻击用户、浏览器、扩展、插件、web应用、网络，等等。

二.select/poll模型 1. 最大并发数限制，因为一个进程所打开的fd（文件描述符）是有限制的，由fd_setsize设置，默认值是1024/2048，因此select模型的最大并发数就被相应限制了。5.6分机打出方式设置5.6.1设置nnn为直通外线方式设置方法：41+ nnn +1 #5.6.2设置nnn为拨9出局方式设置方法：41+ nnn +0 #5.7 分机外线打出权限设置5.7.1设置nnn 分机无外线打出权限设置方法：35+ nnn +1 #5.7.2设置nnn 分机有外线打出权限设置方法：35+ nnn+ 0 #5.8 分机允许使用外线权限设置5.8.1设置nnn 分机不可使用外线m打出设置方法：3+ m+ nnn +1 #5.8.2设置nnn 分机可使用外线m打出设置方法：3+ m+ nnn+ 0 #5.9分机国内长途、声讯台及限制电话权限设置5.9.1设置nnn 分机不允许打国内长途、声讯台及限制电话设置方法：36+ nnn +1 #5.9.2设置nnn 分机允许打国内长途、声讯台及限制电话设置方法：36+ nnn+ 0 #5.10分机国际长途电话权限设置5.10.1设置nnn 分机不允许打国际长途，可打国内长途。就这样的一个业务中，在模拟执行性能测试时，就必须明确并发用户跟集合点的关系，在实际录制脚本的时候，我们就需要把这个业务分割成多个事务，然后分别对各个不同的事务要设置集合点，为什么此时要使用集合点呢，因为我们必须分析出每一个事务的并发情况，加入200个用户进去之后，我们就这样放任去这200个用户自由去操作，就不能判断出查询并发数多少、删除并发数多少、发送消息的并发又是多少，因为进入系统之后，没办法确定200个用户都同时干了些什么，所以此处才是集合点使用最合理的地方。

其默认值是50，大致适用于通常的系统。其它设置包括：

local_destination_concurrency_limit 同时向同一本地接收者发送的邮件上限

default_destination_concurrency_limit 同时向同一接收者发送的邮件上限

message_size_limit 任何大于该尺寸的邮件都将被拒收

bounce_size_limit 在回返时允许发回给发关者的原始内空尺寸，通常认为发回整个

邮伯没有必要。

queue_minfree 在邮件队列所在的文件系统中应当保留多大的未用空间。设置该

变量有助于在填满文件系统前阻 止postfix接收新的邮件。

还有很多与资源和使用率限制有关的选项，可以查阅postfix相关技术文档。

postfix自由可写的maildrop目录

postfix首次发布时，自夸在套件中没有一个程序是setuserid and setgroupid的，所有要发送

的邮件都由某个postfix程序写入到maildrop目录中，然后由单独的postfix守护程序进程取

出并发送。maildrop目录应该设置sticky位，让所有用户都可写。如果该目录中的某个文件

有多个硬链接，则postfix将丢弃这个文件。任何人都可以对队列中的文件添加额外的链接，

这样，这些文件（邮件）就会被删除。而不会发送出去，且此时也不会向用户发送警告。另

一个存在的可能性是用户可以将别人的文件以邮件形式发送出去。但这要满足非常严格的条

件。受影响的文件必须设置为700，必须与maildrop目录在同一文件系统，必须以postfix

可以接受的格式保存。攻击者必须能够对其建立链接，而且在链接创建之后，必须由受影响

者将该文件删除。这些要求不是不可能满足，但确实不是很常见。这些缺陷最初是由qmail

的作Bemstein指出。最初Venema不愿意改正这个问题，因为看起来这只有一种解决方法：

一个setuserid程序。然而，最终他不得不承认这是惟一的方法，并创建了一个名为postdropr

的setgroupid程序，并将maildrop目录的许可设为1730，并将其组ID设置成与postdrop的

组一致，从而只有该程序才能写入maildrop目录。如果postfix sendmail外壳程序发现不能

写入maildrop目录，就会自动调用postdrop。在安装配置postfix时，它会要求用户输入setgid

的组名，如果指定了名字，它就会安装setgroupid的postdrop程序，并且使用受限的目录许

可。否则，仍将使用自由的可写目录。如果系统只被自已及可信任的人使用，则设置自由可

写的maildrop目录可能更好一些。

纯文本smtp

邮件在网上是以纯文本的方式传输，所以只要能够发送和接收机之间的连接，就能够读

取所有过往的邮件。如果邮件中存在敏感信息，不应当未加密就发送。任何现代的MUA都

包含加密部分。PGP是最被广泛支持的加密算法。在RFC2487中定义了SMTP的新扩展

---STARTTLS。STARTTLS在SMTP链接中提供SSL/TLS加密设置，现在它仍然没有在服

务器或客户端得到广泛应用。但随着时间的推移，估计会得到越来越多的支持，使用它可确

保SMTP-AUTH数据通过加密连接传输。因而不会被嗅探。sendmail在版本8.11之后内建

支持。qmail在它网站上有补丁。postfix也有补丁。通过查看EHLO的响应可确定系统使用

的邮件服务器是否支持STARTTLS

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-102690-2.html