关于Zimbra账户被盗后利用Exchange Online中继发送大量邮件的成因分析与阻断方案咨询

我来帮你梳理下这个问题的核心逻辑，结合我处理过类似场景的经验，拆解成因和对应的解决步骤：

一、核心成因拆解 #

你观察到的不同发送方式路由差异，核心原因是Zimbra服务器的SMTP配置中存在针对特定场景的Exchange中继规则，黑客恰好利用了这个规则批量发送垃圾邮件：

• Zimbra Web端和Thunderbird POP3发送时，用的是Zimbra内部的发送通道（Web端调用平台API，POP3客户端绑定Zimbra本地发送端口），这些路径没有触发中继到Exchange的规则，所以邮件不会出现在Exchange的记录里。
• 而telnet直接连接Zimbra的SMTP服务时，相当于模拟了一个直接调用底层SMTP协议的客户端（黑客大概率用的就是这类恶意工具），触发了Zimbra配置的「将外部邮件转发到Exchange作为智能主机」的规则，所以邮件会走Exchange路由，最终留下记录。

另外，账户被盗的潜在原因：哪怕用户没点击外部链接，弱密码、凭据撞库（比如该密码曾在其他泄露平台出现）、Zimbra服务器的权限配置疏漏（比如SMTP服务对认证用户的发送限制过松）都有可能。

二、紧急阻断与长期加固方案 #

1. 先止损：锁定被盗账户 #

• 立刻在Zimbra管理后台锁定该用户账号，重置一个包含大小写字母、数字、特殊字符的强密码；如果Zimbra支持，务必开启多因素认证（MFA），彻底切断黑客的登录路径。

2. 排查并修正Zimbra的中继配置 #

• 登录Zimbra服务器，执行命令查看全局中继主机配置：

  zmprov gs `zmhostname` zimbraMtaRelayHost
  

  如果返回的是Exchange Online的地址（比如outlook.office365.com），说明Zimbra全局配置了Exchange作为中继。如果业务不需要这个配置，直接清空：

  zmprov ms `zmhostname` zimbraMtaRelayHost ""
  

  然后重启Zimbra MTA服务生效：

  zmmtactl restart
  

• 检查Zimbra底层的Postfix规则，打开/opt/zimbra/postfix/conf/main.cf，查看relay_domains、transport_maps等配置项，确认有没有针对特定收件人/发件人的路由规则指向Exchange，多余的规则直接删除或注释。

3. 加固Exchange Online的中继权限 #

• 登录Exchange Online管理中心（EAC），进入邮件流 > 连接器，检查是否存在允许Zimbra服务器IP中继的连接器：
  • 如果这个连接器是业务必需的，就修改权限：限制仅能中继特定发件人域名，或者严格限定Zimbra的公网IP白名单，避免被滥用。
  • 如果是多余的连接器，直接删除，从根源切断中继可能。
• 在Exchange中配置邮件流规则：设置阈值（比如单账号每小时发送超过50封外部邮件），触发后自动拦截或发送告警，防止大规模垃圾邮件爆发。
• 开启Exchange反垃圾邮件策略中的「阻止批量发送垃圾邮件」功能，增强异常发件行为的检测能力。

4. 全面安全排查与加固 #

• 拉取Zimbra和Exchange的邮件日志，定位黑客发送邮件的来源IP、客户端信息，将可疑IP加入防火墙黑名单，阻止其访问Zimbra的SMTP和Web端口。
• 对所有Zimbra用户做密码审计，强制修改弱密码，统一开启MFA，避免其他账号被盗风险。
• 检查Zimbra服务器安全配置：确保SMTP服务仅允许认证用户发送邮件，关闭匿名转发；定期更新Zimbra补丁，修复已知漏洞。

5. 验证修复效果 #

• 用telnet工具在Zimbra服务器上测试发送外部邮件，查看Exchange日志是否还会出现该邮件，确认中继规则已失效。
• 用Zimbra Web端和Thunderbird客户端测试正常发信，确保业务不受影响。

备注：内容来源于stack exchange，提问作者footballisoverrated