在我的一台运行 Exim 邮件的服务器上运行了渗透测试，他们有这样的抱怨：
描述：此主机上的邮件服务器响应 VRFY 和/或 EXPN 要求。 VRFY 和 EXPN 向服务器询问有关 地址。它们本质上无法通过防火墙、网关、 兼职主机的邮件交换器等。OpenVAS 建议，如果 你真的想发布这类信息，你使用 合法用户实际知道的机制，例如 Finger 或 HTTP。
解决方案：在您的邮件服务器上禁用 VRFY 和/或 EXPN。对于后缀添加 'main.cf' 中的'disable_vrfy_command=yes'。对于 Sendmail 添加选项 'O PrivacyOptions=goaway'。
不幸的是，它是 Exim 而不是 Sendmail/postfix。他们的输出显示运行 EXPN 命令会生成响应“550 管理禁止”。我用 telnet 对此进行了测试，它是正确的。
有没有办法完全阻止它回复？提前致谢
【问题讨论】：
标签： mail-server exim
RFC 2505 规定：
SMTP VRFY 和 EXPN 都为潜在的垃圾邮件发送者提供了测试其列表中的地址是否有效 (VRFY) 甚至获取更多地址 (EXPN) 的方法。因此，MTA 应该控制允许谁发出这些命令。这可能是“开/关”，也可能使用类似于前面提到的访问列表。
请注意，根据 RFC821，1 需要“VRFY”命令。
不过，响应可以是“252 Argument not checked”来表示 “关闭”或通过访问列表阻止。这应该是默认设置。
根据此处的 exim 文档http://www.exim.org/exim-html-current/doc/html/spec_html/ch-smtp_processing.html
“当 Exim 在 TCP/IP 连接上收到 VRFY 或 EXPN 命令时，它会运行 acl_smtp_vrfy 或 acl_smtp_expn 指定的 ACL（视情况而定）以确定是否应接受该命令。
如果没有为 VRFY 定义 ACL，或者如果它在没有设置显式响应代码的情况下拒绝，则接受该命令（带有 252 SMTP 响应代码）以支持在每个 RCPT 之前执行 VRFY 的笨拙客户端”。
对我来说，这建议始终返回 252，而不是在完全关闭时关闭。
【讨论】：