Relais ouvert SBS / Exchange 2003 sur l'adresse e-mail déformée

j'ai Small Business Server 2003 (Exchange 2003 SP2). Pendant la vérification de la conformité PCI Il a été noté comme un relais ouvert refusé. j'ai utilisé telnet Pour tester et c'est ce que j'ai trouvé:

 MAIL FROM: <test@test.com>
250 2.1.0 test@test.com....Sender OK
RCPT TO: &lt;"relaytest@test.com"&gt;
250 2.1.5 "relaytest@test.com"@mydomain.com

Le relais échoue chaque fois que l'adresse est déformée. Le serveur renvoie toujours l'état 250, Mais ajoute également toujours mon nom de domaine à la fin de l'adresse.

J'ai un serveur configuré pour relâcher uniquement pour une adresse IP interne configurée dans le module de rapport d'erreur de site. IIS.

Test d'adresse e-mail valide (Mais avec un format incorrect de citations et de crochets angulaires) n'a pas conduit à la réception du courrier. Y a-t-il un moyen de l'utiliser, et si oui, comment puis-je le désactiver?
</test@test.com>
Invité:

Emilie

Confirmation de:

Je dirais que le fardeau de la preuve se réside sur eux - Ils doivent démontrer qu'il est vraiment relayé à l'adresse encapsulée afin qu'elle soit une vulnérabilité.

Vous ne pouvez pas prouver le déni; Vous n'avez pas la possibilité de démontrer que toutes les combinaisons possibles de la formation d'adresses incorrectes seront rejetées.
http://en.wikipedia.org/wiki/Fuzz_testing
Le champ de l'adresse de destinataire de votre serveur de messagerie ne doit pas être attendu de votre part de confirmer la conformité; Tester ces choses et rapports de tout problème détecté - C'est ce qu'ils paient un scanner.

La réponse d'acceptation se produit constamment pour les messages qui n'ont pas été livrés (En particulier, pour le spam) - De leur côté, il est irresponsable d'assumer un relais ouvert basé sur un code de réponse spécifique. Chaque fournisseur de la numérisation de ce type, que j'ai vu envoie un message à l'adresse Internet afin de pouvoir confirmer si elles peuvent se relâcher avec succès.

Votre test a montré que, malgré le code de réponse, le message n'est pas relayé et l'ajout de votre domaine à la fin est une preuve supplémentaire que le message n'est envoyé nulle part. Cependant, ils pourraient autrement former l'adresse et voir un autre comportement. Demandez-leur quel type de trafic qu'ils envoient et quelle réponse exacte qu'ils ont reçus et ont également confirmé leur relais de numérisation sur Internet. S'ils le faisaient, reproduisez-le; Cela devrait être un degré de diligence appropriée que vous devez effectuer ici.

S'ils ne prouvent pas que vous êtes vraiment vulnérable à cette vulnérabilité, leur numérisation n'a pas de sens, et vous devriez contester leurs conclusions.

Pour répondre aux questions, connectez-vous ou registre