[인프라진단] #U-48 expn, vrfy 명령어 제한

1. 항목 설명

SMTP VRFY와 EXPN은 계정 또는 메일링 목록 존재 여부를 알려줄 수 있어 공격자의 사용자 목록 수집에 악용됩니다.

판단 기준: VRFY·EXPN 명령으로 계정 정보가 노출되지 않도록 제한되어 있으면 양호입니다.

2026 가이드 근거

U-48 2026 가이드 근거. 출처: 과학기술정보통신부·한국인터넷진흥원, 「2026 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」, U-48, pp.116-117. 본 게시글은 위 가이드의 판단 기준을 참고하여 작성했으며, 진단 결과와 증적은 개인 실습 환경에서 직접 수집했습니다.

U-48 2026 가이드 근거 2. 출처: 과학기술정보통신부·한국인터넷진흥원, 「2026 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」, U-48, pp.116-117. 본 게시글은 위 가이드의 판단 기준을 참고하여 작성했으며, 진단 결과와 증적은 개인 실습 환경에서 직접 수집했습니다.

2. 점검 목적

메일 계정 열거와 조직 내부 주소 정보 노출을 차단하는 것이 목적입니다.

3. 실습 환경

• 원본 진단 환경: Ubuntu 24.04.2 LTS
• 설정 화면 확인 환경: Ubuntu Server 24.04.4 LTS, Linux 6.8.0-138-generic
• 가상화 환경: VMware Workstation
• 호스트 이름: u-lab
• 네트워크: VMware Host-only 격리망, 기본 게이트웨이 없음
• 원본 진단 실행 ID: 20260903-094131
• 원본 진단 수집일: 2026-09-03
• 증적 화면 캡처일: 2026-09-08
• 화면 수집 방식: VMware Ubuntu VM 콘솔 직접 캡처

최초진단과 이행진단 이미지는 2026-09-03에 실제 수집한 원본 결과를 VM 콘솔에서 열어 캡처했습니다. 원본 수집일과 화면 캡처일은 서로 다르며, 과거 결과를 오늘의 재진단 결과로 표시하지 않았습니다. 취약 상태 구성과 조치에는 격리된 관리 연결을 보조적으로 사용했습니다.

설정 확인 이미지는 캡처일의 VM에서 명령을 실행한 화면입니다. 실습 종료 후 서비스를 중지하거나 임시 설정을 제거한 항목은 당시 이행진단과 현재 상태가 다를 수 있습니다.

4. 취약 상태 구성

Postfix의 disable_vrfy_command=no를 적용하고 로컬 SMTP에 VRFY root를 전송해 실제 252 응답을 확인했습니다.

이 구성은 인터넷과 분리된 실습 VM에서 관리자 권한으로만 수행했습니다.

구성 방법

sudo postconf -e 'disable_vrfy_command = no'
sudo systemctl start postfix
printf 'VRFY root\r\nQUIT\r\n' | nc 127.0.0.1 25

구성 후 다음 명령으로 실제 상태를 확인했습니다.

sudo postconf disable_vrfy_command; printf 'VRFY root\r\nQUIT\r\n' | nc 127.0.0.1 25

5. 최초진단 결과

• 원본 진단 판정: 취약
• 원본 진단 판정 근거: VRFY가 활성화되고 252 2.0.0 root 응답으로 계정 정보를 추정할 수 있었습니다.

U-48 최초진단 현황 증적

6. 조치 방법

disable_vrfy_command=yes를 적용하고 서비스를 다시 불러온 뒤 동일 명령이 502로 거부되는지 확인했습니다.

sudo postconf -e 'disable_vrfy_command = yes'
sudo postfix check
sudo systemctl reload postfix

Linux 설정 확인 위치: Postfix disable_vrfy_command와 실제 SMTP 응답

현재 화면에서는 VRFY 제한 설정과 Postfix 중지 상태를 확인합니다. 252/502 SMTP 응답 비교는 원본 진단 당시의 실제 시험 결과입니다.

U-48 Linux 설정 확인 화면 증적

7. 이행진단 결과

• 원본 진단 판정: 양호
• 원본 진단 판정 근거: VRFY가 502 5.5.1 VRFY command is disabled로 거부됐고 Postfix는 EXPN을 구현하지 않습니다.

U-48 이행진단 현황 증적

8. 실무 주의사항

배너 설정만 바꿔도 명령 자체가 남을 수 있습니다. 외부에 노출된 동일 경로에서 SMTP 대화를 직접 시험해야 합니다.

컨설턴트 조언

• 계정 열거 방지는 VRFY 외에도 수신자 검증 응답, 웹메일 로그인 오류 문구와 디렉터리 조회 API까지 함께 봅니다.
• 서비스 중지 전에 애플리케이션, 백업, 모니터링 등 호출 주체와 의존성을 먼저 조사합니다.
• 서비스 상태와 자동 시작뿐 아니라 소켓 활성화, inetd 항목, 잔존 프로세스와 포트도 확인합니다.
• 불가피한 서비스는 방화벽·인증·암호화로 보완하고 예외 승인과 재검토 일정을 관리합니다.

9. 마무리

이번 실습에서는 실제 최초·이행진단 기록과 VM 콘솔 캡처를 비교했습니다. 운영 환경에서도 변경 후 기능 시험과 정기 재점검을 함께 수행해야 합니다.