发送测试电子邮件消息 响应服务器 550,Microsoft SMTP 服务器在第三方测试中可能显示为能够接受并中继电子邮件...

更多信息如果您必须拥有在 SMTP 协议会话期间执行目录查找的能力，您可以编写一个 Windows 2000 SMTP 协议事件接收器。

有关其他信息，请参见下面的 MSDN 平台 SDK SMTP 服务器事件 Web 站点：

550 5.1.1 user@northwindtraders.com...User unknownMicrosoft 选择不在 SMTP 协议会话期间执行目录查找，原因是：

如果您将 5xx 错误返给假冒的用户，则向您的服务器发送主动提供的大量商务电子邮件(垃圾邮件或 UCE)的用户即刻会发现哪些地址是真实的、哪些地址是假冒的。用户如果使用 SMTP 协议运行一个名称词典，就很容易获取一个有效电子邮件地址的列表。这也可能会给本地用户带来安全风险，因为用户名往往与电子邮件地址是一样的。

恶意用户可以使用“发件人”地址在未经授权的情况下访问系统(欺骗)，然后使用受害者的服务器向目标收件人发送 NDR。这种攻击只能用攻击者能够发送的数据量攻击服务器。换句话说，如果恶意用户想对第三方发送 1 兆 (MB) 的数据，则必须使用他(或她)自己的 1 兆带宽把 1 兆的数据发送到 SMTP 服务器。通常情况下，这种恶意用户尝试发送 1 MB 的数据，但是仍会导致 Internet 上有几十或几百 MB 的数据攻击一个或一组受害者服务器。阻止发生这一情况最好的做法是，在整个 Internet 范围内验证“发件人”的地址。但是，还没有任何标准用于在整个 Internet 范围内验证“发件人”的地址；因此，应对这一情况的最好做法是查看邮件标头。

如果在 SMTP 协议会话期间执行了目录查找，则 SMTP 协议的运行速度可能大大减慢。在本文发布时，Microsoft 是在以下前提下运作的：SMTP 服务器应以尽可能快的速度运行，以避免 Internet 上或桌面 SMTP 客户端上的 SMTP 邮件发生阻塞。如果目录过载，则客户端可能会发现服务器运行速度过慢，而且会收到一条错误信息。在某些情况下，目录也可能不可用；或者，可能需要对特定的域进行中继，但是目录的副本可能不可用(例如，在 ISP 承载的环境中)。

关于中继的一般信息一台 SMTP 客户端可以使用 SMTP 服务器将电子邮件转发到远程(即，非本地)域，这一情况叫做中继。中继本来不是坏事，因为 SMTP 就是为这一用途设计的(请参见 RFC 2821 文档的第 2.1 节和第 3.7 节)。

但是，如果对中继不加控制(不受控制的主机称作“开放中继”的主机)，恶意用户可能使用中继来发送主动提供的大量商务电子邮件(垃圾邮件或 UCE)。通过将这些不请自来的电子邮件借助中间主机弹跳，恶意用户会让自己的身份真假难辨。这还会使资源绑定到中继主机上，使中继主机无法发送有效的电子邮件。特别是，大多数发送这种主动提供的电子邮件的用户无需使用自己的带宽即可将一封邮件发送给大量的收件人。

中继测试 1此为 SMTP 中继的标准测试。如果不是管理员特许或者 SMTP 客户端首先进行验证，SMTP 客户端不应以这种方式进行中继。

>>> RSET

<<< 250 2.0.0 Resetting

>>> MAIL FROM:

<<< 250 2.1.0 spamtest@contoso.net....Sender OK

>>> RCPT TO:

<<< 550 5.7.1 Unable to relay for relaytest@contoso.net

中继测试 2此测试与上一个测试基本上一样，只是发起人是本地用户而不是远程域的用户。因为“发件人”地址常被用于在未经授权的情况下访问系统(欺骗)，所以任何服务器都不应被这种方法欺骗：

>>> RSET

<<< 250 2.0.0 Resetting

>>> MAIL FROM:

<<< 250 2.1.0 spamtest@northwindtraders.com....Sender OK

>>> RCPT TO:

<<< 550 5.7.1 Unable to relay for relaytest@contoso.net

中继测试 3此测试针对 NULL 或空白“发件人”信封地址。NDR 及其他通知会使用 NULL“发件人”信封地址。然而，如果“收件人”地址中的域不是本地域，通知仍然不会通过：

>>> RSET

<<< 250 2.0.0 Resetting

>>> MAIL FROM:<>

<<< 250 2.1.0 <>....Sender OK

>>> RCPT TO:

<<< 550 5.7.1 Unable to relay for relaytest@contoso.net

中继测试 4此测试与中继测试 2 一样，只是客户端已显式添加本地域。这不应骗过 SMTP 服务器：

>>> RSET

<<< 250 2.0.0 Resetting

>>> MAIL FROM:

<<< 250 2.1.0 spamtest@northwindtraders.com....Sender OK

>>> RCPT TO:

<<< 550 5.7.1 Unable to relay for relaytest@contoso.net

中继测试 5此测试也与中继测试 2 一样，只是已添加服务器的本地 IP 地址，目的是尝试欺骗服务器。尽管此地址格式通常是可接受的，但服务器不应接受到远程域的中继。在尝试将服务器的“本地主机名”或域名称系统 (DNS) 名填入“发件人”地址中的各种其他测试中，服务器都不应被“发件人”地址欺骗：

>>> RSET

<<< 250 2.0.0 Resetting

>>> MAIL FROM:

<<< 250 2.1.0 spamtest@[10.10.10.10]....Sender OK

>>> RCPT TO:

<<< 550 5.7.1 Unable to relay for relaytest@contoso.net

中继测试 6此测试专用于旧式的基于 UNIX 的服务器，该服务器通过附加本地域并将 (@) 符号更改为百分号 (%) 来路由电子邮件。然后服务器才中继邮件。此 Microsoft 产品可接受该邮件，显示未能通过测试。因为百分号 (%) 在本地部分是个有效字符，此产品选择了接受该邮件并在目录查找失败时发出一个 NDR。对于这一类型的中继，Microsoft SMTP 产品没有漏洞，因为邮件没有转发，而是发出了一个 NDR：

>>> RSET

<<< 250 2.0.0 Resetting

>>> MAIL FROM:

<<< 250 2.1.0 spamtest@northwindtraders.com....Sender OK

>>> RCPT TO:

<<< 250 2.1.5 relaytest%contoso.net@northwindtraders.com

中继测试 7此测试是中继测试 6 的又一个变种。此 Microsoft 产品接受邮件并显示未能通过测试。因为引号符号 (") 在本地部分是个有效字符，此产品选择了接受该邮件并在目录查找失败时发出一个 NDR。对于这一类型的中继，Microsoft SMTP 产品没有漏洞，因为邮件没有转发，而是发出了一个 NDR：

>>> mail from:

<<< 250 2.1.0 spamtest@northwindtraders....Sender OK

>>> rcpt to:

<<< 250 2.1.5 "nobody@mail-contoso.org"@northwindtraders.com

如果您的 SMTP 服务器未能通过这些测试中的一个或多个，特别是中继测试 6 和 7，这并不一定能说明该服务器是一个开放中继。有些系统(包括 Microsoft Exchange 和 Microsoft Windows 2000 SMTP)看起来能接受中继邮件，但是随后在内部拒绝邮件而不进行传递。但是，如果不发送一条真实的测试邮件，您无法真正确定某个服务器是否真的开放中继。

当您对 Exchange 2000 服务器进行中继测试 6 和测试 7 时，因为这两种测试都会针对无效收件人生成一条消息，所以在 Exchange System Manager 中指定的邮箱(具体指定位置是在默认 SMTP 虚拟服务器的属性中，在邮件选项卡上，在“将使用未解析的收件人的邮件全部转发到主机”框中)会收到一个与下例类似的 DNR：

Your message did not reach some or all of the intended recipients.

Subject:中继测试 6

Sent:3/22/2002 5:47 PM

The following recipient(s) could not be reached:

relaytest%contoso.net@northwindtraders.com on 3/12/2002 12:30 PM

The e-mail account does not exist at the organization this message was sent to.Check the e-mail address, or contact the recipient directly to find out the correct address.

- 或者 -

Your message did not reach some or all of the intended recipients.

Subject:中继测试 7

Sent:3/13/2002 12:30 PM

The following recipient(s) could not be reached:

"nobody@mail-contoso.org"@northwindtraders.com on 3/13/2002 12:30 PM

The e-mail account does not exist at the organization this message was sent to.Check the e-mail address, or contact the recipient directly to find out the correct address.

您可以使用这些 NDR 来验证这些邮件确实未被中继。

有关如何在运行 Exchange Server 5.5 时使服务器防范开放中继的其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：

196626 XFOR:Restricting Routing in the Internet Mail Service如果您运行的是 Microsoft Exchange 2000，默认情况下，中继需要身份验证。有关其他信息，请参见 Exchange 2000 帮助。