服務器是網絡核心資產，配置不當將洩露關鍵情報助推滲透。DNS 與 SMTP 為必備服務，亦是黑客首選偵察目標。

DNS 服務器：禁止未授權區域傳遞 (AXFR)

• 風險：區域傳遞會洩露整個區域內所有主機 IP、名稱、服務類型（如 mail、sql、dev、vpn），為攻擊者繪制精準攻擊地圖。
• 檢測命令：

  # Linux
  host -t ns yourcompanydomain.com
  # 獲取授權 NS 列表後
  dig @ns1.yourcompanydomain.com yourcompanydomain.com AXFR
  

  若返回完整記錄列表，即存在洩露。
• 修復：DNS 服務器配置 allow-transfer { trusted_slaves_only; }; 僅允許受信從服務器傳遞，拒絕任意 IP 請求。

SMTP 服務器：禁止開放中繼

• 風險：開放中繼允許任意用戶通過本服務器發送外域郵件，淪為垃圾郵件跳板，IP 進入 RBL 黑名單，正常郵件投遞受阻。
• 檢測：Telnet 到 25 端口，嘗試 MAIL FROM: <external@domain> → RCPT TO: <external2@domain2> → DATA，若服務器接受並隊列，即為開放中繼。
• 修復：
  1. 僅允許本地網段/認證用戶中繼：mynetworks = 127.0.0.0/8, 192.168.1.0/24 + smtpd_recipient_restrictions = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination。
  2. 強制 SMTP AUTH (SASL) + TLS 加密傳輸。
  3. 啟用 SPF/DKIM/DMARC 保護域名聲譽。

通用加固清單

• 修改默認管理端口/帳號/密碼。
• 關閉非必要服務/端口。
• 最新補丁及時應用。
• 啟用詳細審計日志，集中存儲並設定告警規則。
• 定期滲透測試驗證配置有效性。

最小權限、最小暴露、持續審計——服務器加固的鐵三角。