smtp port staat open, maar heeft rare naam

[marko77]

We hebben hier in ons bedrijfsnetwerk een exchange server draaien achter een ciso router.

Zowel pop3 als smtp staan open vanaf buiten en in mn poortscanner zie ik dat ook.

het rare is dat mn scanner bij poort 110 als beschrijving geeft:

+ok Microsoft exchange 2000 pop3 server version (nummertje) ready

Dat is gewoon goed imo

maar bij mn poort 25 is dat:

220****20**************0**2***02 etc.


ik begrijp hier helemaal niets van.

Heeft iemand enig idee wat dit betekent?

ik heb ook een andere scanner geprobeerd en die gaf dezelfde melding.

[Verwijderd]

geen idee maar probeer eens...

telnet mailserver 25
helo
mail from: [e-mail]
rcpt to: [e-mail]
data
subject test
.

[marko77]

met telnet krijg ik dezelfde rare string te zien
helo is unknown command

probeer zelf maar es

ip van mailserver is 213.84.234.139

[ Voor 31% gewijzigd door marko77 op 23-05-2003 14:37 ]

[Erkens]

is het geen ftp server?
die beginnen altijd met code 220

[marko77]

nee, er draait hier geen ftp server

[TheRookie]

Onze exchange meldt:

code:

220 <knip> Microsoft ESMTP MAIL Service, Version: 5.0.2195.5329 ready at  Fri, 23 May 2003 14:41:36 +0200

ftp meldt:

code:

220 <knip> Microsoft FTP Service (Version 5.0).

óók beginnend met 220 ....

[ Voor 42% gewijzigd door TheRookie op 23-05-2003 14:45 ]

[Myrdhin]

Waarschijnlijk is de router die ze hebben staan een Cisco PIX firewall. En die laat jou niet zien wat voor een mail server er staat door de niet belangrijke tekst te vervangen door sterretjes. Alleen de code 220 is voor de mailserver van belang. Dit is ervoor gemaakt om scanners te misleiden zodat je niet kunt achterhalen welke versie van een bepaalde mail server er draait. Als je namelijk de versie en het product weet is het wel heel gemakkelijk om een exploit op te zoeken....

[sh4d0wman]

Myrdhin, klopt volgens mij ik heb net even getelnet en zie nu idd wat TS bedoelt. gewoon een beveiligingsmaatregel.

[marko77]

Myrdhin schreef op 23 May 2003 @ 14:44:
Waarschijnlijk is de router die ze hebben staan een Cisco PIX firewall. En die laat jou niet zien wat voor een mail server er staat door de niet belangrijke tekst te vervangen door sterretjes. Alleen de code 220 is voor de mailserver van belang. Dit is ervoor gemaakt om scanners te misleiden zodat je niet kunt achterhalen welke versie van een bepaalde mail server er draait. Als je namelijk de versie en het product weet is het wel heel gemakkelijk om een exploit op te zoeken....

Dat klopt!

er hangt idd een PIX tussen. Dus als ik het goed begrijp is alles koek en ei?

wat ik dan wel raar vind is dat de pop poort wel een normale string weergeeft.
Dat zal wel liggen aan het feit dat deze minder makkelijk te misbruiken is.

[TheRookie]

als 't inderdaad een SMTP server is zou ie volgens mij bij HELO niet met 'unknown command' mogen reageren...

[Myrdhin]

Dat "helo" reageert met unknown command is omdat er nog een domein achter hoort volgens de specs. Probeer maar eens "helo blaat".

[Sjab-X]

TheRookie schreef op 23 May 2003 @ 14:47:
als 't inderdaad een SMTP server is zou ie volgens mij bij HELO niet met 'unknown command' mogen reageren...

Je moet achter helo nog even een string meegeven, dan werkt het wel. (bv. helo me)
Alleen je kunt op deze server geen mails versturen naar andere adressen dan het ingestelde domain (dus geen relay)...

[TheRookie]

Als ik met onze Exchange server connect dan krijg ik bij HELO gewoon een response...

[ Voor 10% gewijzigd door TheRookie op 23-05-2003 14:51 . Reden: moeilijk hoor, typen :( ]

[Erkens]

TheRookie schreef op 23 May 2003 @ 14:42:
Onze exchange meldt:

code:

220 <knip> Microsoft ESMTP MAIL Service,*knip*

ftp meldt:

code:

220 <knip> Microsoft FTP Service (Version 5.0).

óók beginnend met 220 ....

ff vergeten dat SMTP ook 220 is
sorry, ik had het moeten checken voor ik post

marko77 schreef op 23 May 2003 @ 14:41:
nee, er draait hier geen ftp server

er draaien wel vaker ftp server daar waar het niet zou moeten

[ Voor 8% gewijzigd door Erkens op 23-05-2003 14:52 ]

[marko77]

de server is idd relay proof

[Brahiewahiewa]

Ja, da's de MailGuard van PIX, zoek effe zelf op www.cisco.com

[Harrie666]

als je op je pix

no fixup protocol smtp 25

in je configuratie zet, werkt het dan wel gewoon ?

[marko77]

waar stel je dat in? ik kon het niet vinden in mn pix

[Harrie666]

enable

password enzo

config t

no fixup protocol smtp 25

[Verwijderd]

kan je het dan niet gewoon ff op de server testen?