{"id":202,"date":"2026-10-27T09:01:26","date_gmt":"2026-10-27T06:01:26","guid":{"rendered":"https:\/\/mx1mail.com\/blog\/smtp-user-enumeration-vrfy-expn-rcpt-riskleri-sertlestirme\/"},"modified":"2026-10-27T09:01:26","modified_gmt":"2026-10-27T06:01:26","slug":"smtp-user-enumeration-vrfy-expn-rcpt-riskleri-sertlestirme","status":"publish","type":"post","link":"https:\/\/mx1mail.com\/blog\/tr\/smtp-user-enumeration-vrfy-expn-rcpt-riskleri-sertlestirme\/","title":{"rendered":"SMTP User Enumeration (Kullan\u0131c\u0131 Ke\u015ffi) Nedir? VRFY\/EXPN\/RCPT Riskleri ve Kurumsal Mail Sunucusu Sertle\u015ftirme Rehberi"},"content":{"rendered":"<h2>SMTP user enumeration (kullan\u0131c\u0131 ke\u015ffi) ne anlama gelir?<\/h2>\n<p>SMTP user enumeration, bir sald\u0131rgan\u0131n veya spam botunun bir domaine ait ge\u00e7erli e-posta adreslerini tespit etmeye \u00e7al\u0131\u015fmas\u0131d\u0131r. Ama\u00e7 genellikle ikiye ayr\u0131l\u0131r: Birincisi spam ve kimlik av\u0131 (phishing) kampanyalar\u0131n\u0131 daha \u201chedefli\u201d hale getirmek; ikincisi ise kullan\u0131c\u0131 ad\u0131-parola denemeleri, BEC (Business Email Compromise) gibi sald\u0131r\u0131lar i\u00e7in kullan\u0131c\u0131 listesini \u00e7\u0131karmakt\u0131r. Kullan\u0131c\u0131 ke\u015ffi \u00e7o\u011fu zaman sessiz ilerler; sistem \u00e7al\u0131\u015fmaya devam ederken, d\u0131\u015far\u0131ya verilen k\u00fc\u00e7\u00fck ipu\u00e7lar\u0131 (SMTP cevap kodlar\u0131, farkl\u0131 hata mesajlar\u0131, zamanlama farklar\u0131) adreslerin do\u011frulanmas\u0131na yard\u0131mc\u0131 olabilir.<\/p>\n<p>Bu konu sadece g\u00fcvenlikle ilgili de\u011fildir; ayn\u0131 zamanda itibar (reputation) ve operasyonel y\u00fck ile ilgilidir. Bir domainin adres listesi kolay \u00e7\u0131kar\u0131labiliyorsa, gereksiz denemeler ve hatal\u0131 teslimatlar artar, loglar \u015fi\u015fer, filtreleme y\u00fck\u00fc b\u00fcy\u00fcr ve baz\u0131 durumlarda k\u00f6t\u00fcye kullan\u0131m (abuse) sinyalleri \u00e7o\u011fal\u0131r.<\/p>\n<h2>Sald\u0131rganlar kullan\u0131c\u0131 ke\u015ffini pratikte nas\u0131l yapar?<\/h2>\n<h3>1) VRFY komutu<\/h3>\n<p>SMTP protokol\u00fcnde baz\u0131 sunucular VRFY komutunu destekleyebilir. VRFY, teoride bir al\u0131c\u0131 adresinin sunucuda ge\u00e7erli olup olmad\u0131\u011f\u0131n\u0131 do\u011frulamaya yarar. E\u011fer sunucu \u201cuser exists\u201d benzeri net bir yan\u0131t veriyorsa, sald\u0131rgan \u00e7ok h\u0131zl\u0131 bir \u015fekilde kullan\u0131c\u0131 listesi \u00e7\u0131karabilir. G\u00fcn\u00fcm\u00fczde \u00e7o\u011fu kurumsal kurulumda VRFY ya kapal\u0131d\u0131r ya da i\u015fe yaramaz hale getirilmi\u015ftir; ancak eski yap\u0131land\u0131rmalar veya yanl\u0131\u015f ayarlar h\u00e2l\u00e2 g\u00f6r\u00fclebilir.<\/p>\n<h3>2) EXPN komutu<\/h3>\n<p>EXPN, bir listeyi (\u00f6r. bir da\u011f\u0131t\u0131m listesini) geni\u015fleterek \u00fcyelerini g\u00f6stermeye yarar. Bu komut a\u00e7\u0131k b\u0131rak\u0131ld\u0131\u011f\u0131nda, tek bir istekle bir departman\u0131n veya grubun adresleri \u00f6\u011frenilebilir. Bu, hedefli oltalama i\u00e7in \u00e7ok de\u011ferli bir bilgi s\u0131z\u0131nt\u0131s\u0131d\u0131r. EXPN \u00e7o\u011fu ortamda kesinlikle kapat\u0131lmas\u0131 gereken bir \u00f6zelliktir.<\/p>\n<h3>3) RCPT TO a\u015famas\u0131nda farkl\u0131 yan\u0131tlar<\/h3>\n<p>En yayg\u0131n kullan\u0131c\u0131 ke\u015ffi y\u00f6ntemi, SMTP oturumu kurulduktan sonra RCPT TO komutuna verilen yan\u0131tlard\u0131r. \u00d6rne\u011fin ge\u00e7erli al\u0131c\u0131 i\u00e7in 250 kabul, ge\u00e7ersiz al\u0131c\u0131 i\u00e7in 550 \u201cno such user\u201d gibi farkl\u0131 cevaplar d\u00f6n\u00fcyorsa, sald\u0131rgan adres var\/yok bilgisini an\u0131nda toplar. Hatta mesaj\u0131n g\u00f6vdesini (DATA) g\u00f6ndermeden bu ke\u015fif yap\u0131labildi\u011fi i\u00e7in \u00e7ok \u00f6l\u00e7eklenebilir bir y\u00f6ntemdir.<\/p>\n<h3>4) Bounce (NDR) mesajlar\u0131ndan bilgi toplama<\/h3>\n<p>Kurulu\u015f, d\u0131\u015far\u0131ya giden e-postalarda veya yanl\u0131\u015f adreslere g\u00f6nderilenlerde \u00e7ok a\u00e7\u0131klay\u0131c\u0131 \u201cbounce\u201d mesajlar\u0131 \u00fcretiyorsa, bu mesajlar kullan\u0131c\u0131 adland\u0131rma \u015femas\u0131n\u0131 ve i\u00e7 sistem bilgilerini ele verebilir. \u00d6zellikle eski sistemlerde hata metinleri \u201cmailbox disabled\u201d, \u201caccount locked\u201d gibi detaylar verebilir. Bu bilgiler, hesap ele ge\u00e7irme giri\u015fimlerini g\u00fc\u00e7lendirir.<\/p>\n<h3>5) Zamanlama (timing) farklar\u0131 ve di\u011fer yan kanallar<\/h3>\n<p>Sunucu farkl\u0131 al\u0131c\u0131lar i\u00e7in farkl\u0131 kontrol yollar\u0131 izliyorsa (\u00f6r. ge\u00e7erli kullan\u0131c\u0131da LDAP sorgusu, ge\u00e7ersizde an\u0131nda ret), yan\u0131t s\u00fcreleri bile bir sinyal olabilir. Bu t\u00fcr yan kanallar her zaman pratikte s\u00f6m\u00fcr\u00fclmez; ama y\u00fcksek hacimli otomasyonda istatistiksel farklar anlaml\u0131 hale gelebilir.<\/p>\n<h2>Neden tehlikeli? Etki alanlar\u0131 ve sonu\u00e7lar<\/h2>\n<p>Kullan\u0131c\u0131 ke\u015ffi \u00e7o\u011fu zaman \u201cadres listesi \u00e7\u0131karmak ne olacak?\u201d diye hafife al\u0131n\u0131r. Oysa etkisi katmanl\u0131d\u0131r:<\/p>\n<ul>\n<li><strong>Hedefli sald\u0131r\u0131 riski artar:<\/strong> Sald\u0131rgan \u201cgenel\u201d spam yerine ger\u00e7ek kullan\u0131c\u0131 adlar\u0131na e-posta atar; a\u00e7\u0131lma oran\u0131 ve ikna oran\u0131 y\u00fckselir.<\/li>\n<li><strong>Brute force ve parola p\u00fcsk\u00fcrtme (password spraying) kolayla\u015f\u0131r:<\/strong> Ge\u00e7ersiz kullan\u0131c\u0131lar elendi\u011fi i\u00e7in denemeler daha verimli hale gelir.<\/li>\n<li><strong>Abuse ve itibar etkisi:<\/strong> Sunucu s\u00fcrekli RCPT denemelerine maruz kald\u0131k\u00e7a anomali sinyali artabilir; baz\u0131 a\u011flarda \u015f\u00fcpheli davran\u0131\u015f olarak alg\u0131lanabilir.<\/li>\n<li><strong>Operasyonel y\u00fck:<\/strong> Log b\u00fcy\u00fcmesi, kaynak t\u00fcketimi, g\u00fcvenlik ekibinin inceleme y\u00fck\u00fc artar.<\/li>\n<\/ul>\n<h2>Sertle\u015ftirme stratejisi: G\u00fcvenlik, kullan\u0131labilirlik ve teslim edilebilirlik dengesi<\/h2>\n<p>Kullan\u0131c\u0131 ke\u015ffini azaltman\u0131n temel amac\u0131, d\u0131\u015f d\u00fcnyaya \u201cbu adres var\u201d veya \u201cyok\u201d bilgisini m\u00fcmk\u00fcn oldu\u011funca az s\u0131zd\u0131rmakt\u0131r. Ancak bunu yaparken me\u015fru g\u00f6ndericileri gereksiz yere zorlamamak ve teslim edilebilirli\u011fi bozmamak gerekir. A\u015fa\u011f\u0131daki ad\u0131mlar, \u00e7o\u011fu kurumsal ortamda uygulanabilir genel prensiplerdir.<\/p>\n<h3>VRFY ve EXPN\u2019i devre d\u0131\u015f\u0131 b\u0131rak\u0131n<\/h3>\n<p>Kurumsal bir mail sunucusunun internetten eri\u015filen SMTP y\u00fczeyinde VRFY ve EXPN\u2019in a\u00e7\u0131k olmas\u0131n\u0131n nadiren me\u015fru bir ihtiyac\u0131 vard\u0131r. Bu komutlar\u0131 kapatmak, en net ve d\u00fc\u015f\u00fck yan etkili kazan\u0131mlardan biridir. Kapatma, genellikle \u201csunucu bu komutu desteklemiyor\u201d benzeri standart bir yan\u0131tla yap\u0131l\u0131r; b\u00f6ylece bilgi s\u0131z\u0131nt\u0131s\u0131 \u00f6nlenir.<\/p>\n<h3>RCPT yan\u0131tlar\u0131n\u0131 g\u00f6zden ge\u00e7irin: \u201cerken ret\u201d ile \u201cgecikmeli ret\u201d aras\u0131ndaki fark<\/h3>\n<p>Bir\u00e7ok sistem, ge\u00e7ersiz al\u0131c\u0131y\u0131 RCPT TO a\u015famas\u0131nda reddeder. Bu spam y\u00fck\u00fcn\u00fc azalt\u0131r \u00e7\u00fcnk\u00fc mesaj i\u00e7eri\u011fi al\u0131nmadan ba\u011flant\u0131 sonland\u0131r\u0131l\u0131r. Fakat bu ayn\u0131 zamanda kullan\u0131c\u0131 ke\u015ffini kolayla\u015ft\u0131r\u0131r. Alternatif yakla\u015f\u0131m \u201caccept then bounce\u201d (kabul et sonra bounce \u00fcret) olarak bilinir; bu, adres var\/yok bilgisini do\u011frudan vermemeyi hedefler. Ancak bu yakla\u015f\u0131m iki \u00f6nemli risk ta\u015f\u0131r:<\/p>\n<ul>\n<li><strong>Backscatter riski:<\/strong> Sahte g\u00f6nderen (spoofed sender) kullan\u0131ld\u0131\u011f\u0131nda, bounce mesajlar\u0131 masum \u00fc\u00e7\u00fcnc\u00fc taraflara gidebilir.<\/li>\n<li><strong>Kaynak t\u00fcketimi:<\/strong> \u0130\u00e7eri\u011fi kabul edip sonradan i\u015flem yapmak, gereksiz kuyruk ve disk\/CPU t\u00fcketebilir.<\/li>\n<\/ul>\n<p>Bu nedenle bir\u00e7ok kurum, RCPT a\u015famas\u0131nda ret vermeye devam eder; ama yan\u0131t metinlerini ve davran\u0131\u015f\u0131 \u201c\u00e7ok konu\u015fkan\u201d olmaktan \u00e7\u0131kar\u0131r. \u00d6rne\u011fin \u201cUser unknown\u201d gibi net mesajlar yerine daha genel bir ifade tercih etmek, ayr\u0131nt\u0131 s\u0131z\u0131nt\u0131s\u0131n\u0131 azaltabilir. Burada hedef, standartlara ayk\u0131r\u0131 \u201cgarip\u201d davranmak de\u011fil, gereksiz detaylar\u0131 kesmektir.<\/p>\n<h3>Yan\u0131t metinlerini standardize edin (bilgi s\u0131z\u0131nt\u0131s\u0131n\u0131 azalt\u0131n)<\/h3>\n<p>SMTP durum kodlar\u0131 (\u00f6r. 550) \u00e7o\u011fu zaman gerekli olsa da, a\u00e7\u0131klama metni de\u011fi\u015fkendir. \u201cMailbox disabled\u201d, \u201caccount suspended\u201d, \u201cinvalid local part\u201d gibi detaylar, sald\u0131rgan i\u00e7in alt\u0131n de\u011ferindedir. \u0130deal yakla\u015f\u0131m, d\u0131\u015far\u0131ya verilen mesajlar\u0131 minimum bilgiyle ve tutarl\u0131 olacak \u015fekilde standardize etmektir. \u0130\u00e7eride ise detayl\u0131 sebep loglara yaz\u0131labilir.<\/p>\n<h3>Rate limiting ve davran\u0131\u015f tabanl\u0131 koruma uygulay\u0131n<\/h3>\n<p>User enumeration genellikle y\u00fcksek hacimli denemelerle yap\u0131l\u0131r. Bu y\u00fczden ba\u011flant\u0131 ba\u015f\u0131na RCPT say\u0131s\u0131n\u0131 s\u0131n\u0131rlamak, ayn\u0131 IP\u2019den gelen deneme h\u0131z\u0131n\u0131 d\u00fc\u015f\u00fcrmek ve anomali yakalay\u0131nca ge\u00e7ici engelleme uygulamak etkilidir. Denge \u00f6nemlidir: \u00c7ok agresif limitler, me\u015fru g\u00f6nderenlerin (\u00f6zellikle b\u00fcy\u00fck kurumsal MTAlar\u0131n) ge\u00e7ici hatalar almas\u0131na neden olabilir.<\/p>\n<p>Pratikte uygulanabilecek korumalar:<\/p>\n<ul>\n<li>Ba\u011flant\u0131 ba\u015f\u0131na maksimum al\u0131c\u0131 say\u0131s\u0131 belirleme<\/li>\n<li>IP bazl\u0131 oturum\/komut h\u0131z limiti<\/li>\n<li>\u015e\u00fcpheli IP\u2019ler i\u00e7in daha s\u0131k\u0131 politika (adaptif limit)<\/li>\n<li>Tekrarlayan ge\u00e7ersiz al\u0131c\u0131 denemelerinde otomatik blok\/greylist benzeri yakla\u015f\u0131mlar<\/li>\n<\/ul>\n<h3>Directory Harvest Attack (DHA) sinyallerini izleyin<\/h3>\n<p>DHA, s\u00f6zl\u00fck sald\u0131r\u0131s\u0131 gibi \u00e7ok say\u0131da al\u0131c\u0131 adresi denemesidir. Bunu erken fark etmek i\u00e7in metrikler olu\u015fturmak \u00f6nemlidir. \u00d6rne\u011fin \u201c550 invalid recipient\u201d oran\u0131 belirli bir e\u015fik \u00fczerine \u00e7\u0131k\u0131yorsa, bu bir ke\u015fif denemesidir. \u0130zleme sayesinde hem g\u00fcvenlik ekibi uyar\u0131l\u0131r hem de otomatik aksiyonlar devreye al\u0131nabilir.<\/p>\n<h3>Catch-all ve rol hesaplar\u0131n\u0131 dikkatle y\u00f6netin<\/h3>\n<p>Catch-all kullan\u0131m\u0131, \u201cher \u015feyi kabul et\u201d mant\u0131\u011f\u0131yla ge\u00e7ersiz adresleri de ge\u00e7erli gibi g\u00f6sterir. Bu, kullan\u0131c\u0131 ke\u015ffini zorla\u015ft\u0131r\u0131yor gibi g\u00f6r\u00fcnse de spam hacmini dramatik art\u0131rabilir ve i\u00e7eride yanl\u0131\u015f y\u00f6nlendirilmi\u015f ileti\u015fim riskine yol a\u00e7abilir. Benzer \u015fekilde info@, sales@ gibi rol hesaplar\u0131 tahmin edilebilir oldu\u011fu i\u00e7in daha \u00e7ok hedef olur. Bu hesaplarda g\u00fc\u00e7l\u00fc parolalar, MFA\/2FA politikalar\u0131, eri\u015fim k\u0131s\u0131tlar\u0131 ve en az ayr\u0131cal\u0131k yakla\u015f\u0131m\u0131 kritik hale gelir.<\/p>\n<h2>Test yakla\u015f\u0131m\u0131: De\u011fi\u015fiklikleri nas\u0131l g\u00fcvenle do\u011frulars\u0131n\u0131z?<\/h2>\n<p>Sertle\u015ftirme sonras\u0131 do\u011frulama yaparken hem g\u00fcvenli\u011fi hem de teslim edilebilirli\u011fi \u00f6l\u00e7mek gerekir. Uygulanabilir bir test plan\u0131:<\/p>\n<ol>\n<li>\u0130nternetten SMTP banner\/komut testinde VRFY\/EXPN yan\u0131tlar\u0131n\u0131 kontrol edin.<\/li>\n<li>Var olan ve olmayan al\u0131c\u0131lar i\u00e7in RCPT TO a\u015famas\u0131ndaki davran\u0131\u015f\u0131 kar\u015f\u0131la\u015ft\u0131r\u0131n; gereksiz detay var m\u0131 bak\u0131n.<\/li>\n<li>Me\u015fru d\u0131\u015f g\u00f6ndericilerden (i\u015f ortaklar\u0131, web formlar\u0131, uygulamalar) gelen e-postalar\u0131n ak\u0131\u015f\u0131n\u0131 test edin.<\/li>\n<li>Loglarda \u201cinvalid recipient\u201d oranlar\u0131n\u0131 \u00f6l\u00e7\u00fcn; sertle\u015ftirme sonras\u0131 anormallik ve bloklamalar art\u0131yor mu izleyin.<\/li>\n<li>Yanl\u0131\u015f pozitifleri (legit g\u00f6ndericinin engellenmesi) kay\u0131t alt\u0131na al\u0131p limitleri ayarlay\u0131n.<\/li>\n<\/ol>\n<h2>Sonu\u00e7: Kullan\u0131c\u0131 ke\u015ffini azaltmak \u201ctek ayar\u201d de\u011fil, politika i\u015fidir<\/h2>\n<p>SMTP user enumeration riskini azaltmak; VRFY\/EXPN\u2019i kapatmakla ba\u015flar, RCPT yan\u0131tlar\u0131n\u0131 sadele\u015ftirmek, h\u0131z limitleri koymak, DHA sinyallerini izlemek ve rol hesaplar\u0131n\u0131 do\u011fru y\u00f6netmekle olgunla\u015f\u0131r. Her ortam\u0131n spam profili, m\u00fc\u015fteri ileti\u015fim modeli ve kabul edilebilir gecikme\/yanl\u0131\u015f pozitif e\u015fi\u011fi farkl\u0131d\u0131r; bu nedenle ama\u00e7 \u201cen sert\u201d ayar de\u011fil, s\u00fcrd\u00fcr\u00fclebilir ve \u00f6l\u00e7\u00fclebilir bir politika kurmakt\u0131r.<\/p>\n<p>E\u011fer e-posta altyap\u0131n\u0131z\u0131 yeni kuruyor veya sa\u011flay\u0131c\u0131 de\u011fi\u015ftiriyorsan\u0131z, bu sertle\u015ftirme kararlar\u0131n\u0131 en ba\u015ftan planlamak daha kolayd\u0131r. MX1Mail gibi kurumsal e-posta servislerine ge\u00e7i\u015f projelerinde de, canl\u0131ya \u00e7\u0131kmadan \u00f6nce SMTP y\u00fczeyinin kullan\u0131c\u0131 ke\u015ffine kar\u015f\u0131 nas\u0131l davrand\u0131\u011f\u0131n\u0131 test plan\u0131na dahil etmek, ilerideki abuse y\u00fck\u00fcn\u00fc azaltmaya yard\u0131mc\u0131 olur.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>SMTP user enumeration (kullan\u0131c\u0131 ke\u015ffi) nas\u0131l yap\u0131l\u0131r, VRFY\/EXPN ve RCPT yan\u0131tlar\u0131 neden risklidir, bilgi s\u0131zmas\u0131n\u0131 azaltmak ve teslim edilebilirli\u011fi bozmadan sertle\u015ftirmek i\u00e7in pratik ad\u0131mlar.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[10],"tags":[391,478,437],"class_list":["post-202","post","type-post","status-publish","format-standard","hentry","category-e-posta-guvenligi","tag-anti-spam","tag-mail-sunucusu-sertlestirme","tag-smtp-guvenligi"],"_links":{"self":[{"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/posts\/202","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/comments?post=202"}],"version-history":[{"count":0,"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/posts\/202\/revisions"}],"wp:attachment":[{"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/media?parent=202"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/categories?post=202"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mx1mail.com\/blog\/wp-json\/wp\/v2\/tags?post=202"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}