邮件服务器-邮件系统-邮件技术论坛(BBS)

标题: 伤心——谁能帮我解决winwebmail安全配置问题？好着急啊…… [打印本页]

作者: kecola 时间: 2008-2-18 13:41
标题: 伤心——谁能帮我解决winwebmail安全配置问题？好着急啊……
先向您说声谢谢!

我的winwebmail是安装在 D 盘，但D盘我还放了其他软件备份的文件。

按照winwebmail官方的要求：
D:\WinWebMail (及其所有子目录) Users 或 Everyone 完全控制
D:\ 根目录  Users 读取
——————————————
1、用探针可以看到 D盘，这很麻烦啊！
   我找了很多教程。但是D盘只要不给 user 读取权限，Winwebmail就无法通过浏览器登陆！

2、我无法给 D盘CREATOR OWNER 完全控制权限，我只要一加CREATOR OWNER完全控制，并确定，然后再看安全里，就多了
administrators（无任何权限）和 CREATOR OWNER （无任何权限）两个。

为什么呢？我很郁闷！  请依次按1-2回复，谢谢！

———————————————————————————————————————————————————
我参照的相关技术资料：
A、Winwebmail 电子邮局安装后权限举例（您随便搜索一下就可以看到）
B、WIN2003+WinWebMail 3.7.1.1的权限控制（WinWebMail是一款简单易用，功能强大的邮件服务器系统，很多人都在用，但不知道作者是怎么考虑的，该系统的权限控制始终是个难以解决的问题，网上有很多谈到WinWebMail邮件服务器软件的权限控制的文章，尤其是一些邮件技术社区，但是其控制方式多多少少有一些小小的缺憾。……）  您随便搜索一下也可以找到。。。

作者: e66478 时间: 2008-2-18 13:45
我也很想知道，除非把服务器再分个小点的区出来专门给WINWEBMAIL了。

作者: rayer 时间: 2008-2-18 14:19
D:\ 根目录貌似不给权限也可以用,你试试先

作者: kecola 时间: 2008-2-18 16:42
不给 user 是不可以的！我试了很多次了。

大家谁还有建议？谢谢了

作者: 78752 时间: 2008-2-18 21:18
不一定要装在D盘的,你可以考滤在其他盘,我的服务器权限比你严多了,我装在E盘,任何盘默认都没权限的

作者: kecola 时间: 2008-2-19 09:22
装到E盘不是同样需要给 user 权限吗？这样仍然会被看到。。。

作者: ideacm 时间: 2008-2-19 15:56
确实是对WinWebMail所在的盘符要给user可读权限的。WinWebMail官方写的是只要Administrators和system权限即可。

作者: ideacm 时间: 2008-2-19 19:09
与马坚先生的邮件对话（从下往上看）
=================================
马坚先生：
您好！
谢谢您！
service@live.com
2008-02-19
----- Original Message -----
From: winwebmail.com
To: service@live.com
Sent: 2008-02-19, 20:12:33
Subject: Re: Re: Re: Re: Re: 关于WinWebMail所在磁盘根目录权限请教
提问者，您好！
是的。
  感谢您对WinWebMail以及WebEasyMail软件的支持!
  祝: 万事如意!
                  马坚
=================================================================================
产品网站: http://www.winwebmail.com
WinWebMail以及WebEasyMail软件产品版权所有 (C) 2000-2008 马坚, 保留所有权利.
电子邮件: support@winwebmail.com
         tohelper@yahoo.com.cn
         sales@winwebmail.com
         info@winwebmail.com
         support@51webmail.com
=================================================================================
-------------------------------- 原信内容 --------------------------------
在 2008-02-19 17:00:00 您写道：
>马坚先生：
> 您好！
> 您的意思，这里给权限主要是WebMail需要是吧？
>
>
>service@live.com
>2008-02-19
>----- Original Message -----
>From: winwebmail.com
>To: service@live.com
>Sent: 2008-02-19, 17:46:01
>Subject: Re: Re: Re: 关于WinWebMail所在磁盘根目录权限请教
>
>
>提问者，您好！
>
>对于这方面我并不是很熟，不过曾经有用户通过单独建立一个操作系统帐号来运行IIS中的
>webmail站点，并且只给此帐号以D盘根目录读的权限来解决。
>
>
> 感谢您对WinWebMail以及WebEasyMail软件的支持!
>
> 祝: 万事如意!
>
>
> 马坚
>
>=================================================================================
> 产品网站: http://www.winwebmail.com
>
> WinWebMail以及WebEasyMail软件产品版权所有 (C) 2000-2008 马坚, 保留所有权利.
>
>
> 电子邮件: support@winwebmail.com
> tohelper@yahoo.com.cn
> sales@winwebmail.com
> info@winwebmail.com
> support@51webmail.com
>=================================================================================
>
>
>-------------------------------- 原信内容 --------------------------------
>在 2008-02-19 16:27:00 您写道：
>>马坚先生：
>> 您好！
>> 专门建立一个系统帐号？这个怎么弄呢？好像是必须要users才可以啊，专门建立了一个帐号该还要在什么地方设置什么权限呢？
>>
>>
>>service@live.com
>>2008-02-19
>>----- Original Message -----
>>From: winwebmail.com
>>To: service@live.com
>>Sent: 2008-02-19, 17:34:00
>>Subject: Re: 关于WinWebMail所在磁盘根目录权限请教
>>
>>
>>提问者，您好！
>>
>>这个问题是有些麻烦，最好是能在一个盘符上只安装一个邮件系统，这样看到与否都没有关系。
>>
>>另外，也可以试着在D:\mail下安装winwebmail，然后只给D:\mail 目录Users组完全控制权。
>>
>>最后可以考虑采用在操作系统中专门建一个帐号并给予其权限来解决。
>>
>>
>> 感谢您对WinWebMail以及WebEasyMail软件的支持!
>>
>> 祝: 万事如意!
>>
>>
>> 马坚
>>
>>=================================================================================
>> 产品网站: http://www.winwebmail.com
>>
>> WinWebMail以及WebEasyMail软件产品版权所有 (C) 2000-2008 马坚, 保留所有权利.
>>
>>
>> 电子邮件: support@winwebmail.com
>> tohelper@yahoo.com.cn
>> sales@winwebmail.com
>> info@winwebmail.com
>> support@51webmail.com
>>=================================================================================
>>
>>
>>-------------------------------- 原信内容 --------------------------------
>>在 2008-02-19 16:07:00 您写道：
>>>马坚先生：
>>> 您好！
>>> 按照winwebmail官方的要求：
>>> D:\WinWebMail (及其所有子目录) Users 或 Everyone 完全控制
>>> D:\ 根目录 Users 读取
>>> 用探针可以看到D盘，这很麻烦。但是D盘只要不给 user 读取权限，Winwebmail就无法通过浏览器登陆！
>>> 以前，官方的安装说明，好像是说WinWebMail所在的磁盘根目录只要Administrators和system权限即可。
>>>请问这个问题可以如何更好的解决？
>>> 相关帖子：http://www.5dmail.net/bbs/viewthread.php?tid=173637
>>>
>>>期待您的答复！
>>>元宵佳节快乐！
>>>service@live.com
>>>2008-02-19
>>--------------------------------------------------------------------------
>--------------------------------------------------------------------------
--------------------------------------------------------------------------

[ 本帖最后由 ideacm 于 2008-2-19 19:15 编辑 ]

作者: battey 时间: 2008-2-19 23:06
好解决.
D:\ 给ADMINISTRATOR 和SYSTEM 全部控制权限就可以拉.

作者: xioxia 时间: 2008-2-20 09:23
标题: 看看我的办法能不能解决这个问题！
2006年底时我的服务器邮件页面被黑，我花了几天的时间琢磨到了一种方法，可以不让看到D盘的，不然的话有黑客软件可以通过这个权限，直接访问winwebmail的目录所有文件。
其实解决办法，非常简单：
1、在windows里先建立个帐号webmail，并把用户加入到user组。
2、在windows里在建立一个帐号IUSR_webmail，并把用户加入到Guests组。
3、给D盘根目录赋予webmail和IUSR_webmail只读权限（记住只读，多余的权限不要给予）,同时别忘记了把administrator也加进去，不然D盘你读取不了。
4、双击打开D盘，找到安装winwebmail的目录，单击鼠标右键选择“共享和安全”找到安全选项，这时加入user组给只读权限（记住只读，多余的权限不要给予）。并把从D盘继承过来的webmail和IUSR_webmail加入“修改/读取和运行/列出文件夹目录/读取/写入”的所有选项。
5、千万记住webmail和IUSR_webmail不可在用于其他的IIS读取，否则会有安全隐患。我现在使用的就是这个配置。最后祝所有的同仁门新年快乐！如有问题可联系我 xiasy@msn.cn

2008/02/23：我的方法有一个破绽除非你能从邮箱的web页面下上传可执行的asp代码或其他破坏程序（当然如果能做到，那无论你使用任何的所谓安全帐号都将是无用的），从而破坏邮件目录。你也可以使用16楼drop兄弟的方法在服务中加入webmail用户，前提条件是要把All Users/Default User现赋予user组可读写权限（有的服务器调整了这儿的权限，没有调整的可忽略此步）否则用户无法启动，有机会我可以介绍更加严谨的权限控制，只不过步骤要复杂一些，整理好后在贴上来与大家共享。以上信息纯属个人的一点心得体会，不当之处还请见谅！

[ 本帖最后由 xioxia 于 2008-2-23 02:04 编辑 ]

作者: 致远IT 时间: 2008-2-20 13:47
标题: 我们可以提供winwebmail安全配置
客观说，winwebmail官方和网上资料提供的权限配置都不是很正确，我们通过分析，采用了一套权限配置方法，可确保winwebmail安全，确保100%功能正常，确保不被同服务器上其他站点跨站winwebmail攻击。
需要的朋友请联系qq 705584607
Email： webmaster#zhiyuanit.com （请将#换为@）

作者: wjmhxd 时间: 2008-2-21 00:53

原帖由 xioxia 于 2008-2-20 09:23 发表
2006年底时我的服务器邮件页面被黑，我花了几天的时间琢磨到了一种方法，可以不让看到D盘的，不然的话有黑客软件可以通过这个权限，直接访问winwebmail的目录所有文件。
其实解决办法，非常简单：
1、在windows里先 ...

问一下您建立的iusr这个帐号是给IIS用的还是只给这个目录用的？如果我把webmail和程序分离了该怎么设置呢？

作者: rayer 时间: 2008-2-21 12:08
我kao,来个牛人,就是不知道是不是真的.

作者: Duron 时间: 2008-2-21 15:14
给users读权限不会出什么安全问题，别人顶多看到你的目录，又不能搞破坏，其他目录不要继承D盘权限，删除users权限，应该没什么问题了，和server-U的权限要求差不多（主目录的父目录至少有读取权限），另外重要文件不要放D盘，比如杀毒软件注册码什么的，我曾经就从一个服务器上偷到一个瑞星的注册码，还用了好久

作者: anyliz 时间: 2008-2-21 15:19

原帖由 rayer 于 2008-2-21 12:08 发表
我kao,来个牛人,就是不知道是不是真的.

winwebmail的权限我也研究过，确实如11楼所说一样呀，不过官方上的权限没有划分细和严格罢了
要做一下还是很简单的
只要花点心思研究权限，就可以确保winwebmail的安全了

作者: Duron 时间: 2008-2-21 15:28
刚刚发现 Winwebmail是以本地系统帐号运行的，那么给它改一个登陆帐号，然后给这个帐号权限不就行了么，那样别人除非拿到你winwenmail的shell，否则无法读取你的目录，此方法没有测试，等我回学校再测试，还请各位朋友帮忙测试啊

[attach]4107[/attach]

作者: rayer 时间: 2008-2-22 12:04
晕倒,11楼要收费

期待 Duron大兄弟的研究成果

作者: e66478 时间: 2008-2-22 13:39
事实上这个办法非常好解决，还有人说D：给USERS没安全隐患的站出来！
http://www.iis500.com/downinfo/1686.html 下载这样的探针看看。把你的网站数据库配置文件下载下去，就可以看见用户和密码了。有的PHP论坛数据库是在别的服务器的，连接上去一个drop databases; 就完蛋了。
Duron的方法就是最好的。我已经这样运行了。各位大虾！！此方法有效！
还有个问题，WinWebMail\mail 这个目录要给写入和修改权限，总之WinWebMail下好多文件都要给修改权。用这个webshell又可以修改和删除了。

作者: humbass 时间: 2008-2-24 08:16
说了半天等于没说。

主要的原因还是楼主的要求过于bt。

正常情况下 wwm要求安装在独立的一个分区上的。

作者: e66478 时间: 2008-2-24 13:47
怎么说他要求BT呢，winwebmail要给修改和写入权才能上传附件。这样的话用webshell就可以把mail目录删除了，用户数据都没了。

作者: wjmhxd 时间: 2008-2-24 14:46

原帖由 humbass 于 2008-2-24 08:16 发表
说了半天等于没说。

主要的原因还是楼主的要求过于bt。

正常情况下 wwm要求安装在独立的一个分区上的。

安装在独立分区上是必须的，但是USERS权限在WEB里的危害有多大在网上搜一下就很清楚，如果整个目录users都可以操作，上传一个木马那wwm程序和mail数据库都会遭到非常严重的破坏，这个是不可恢复的

作者: humbass 时间: 2008-2-24 17:41
要实现web匿名访问，iis需要系统提供users权限。

欢迎光临邮件服务器-邮件系统-邮件技术论坛(BBS) (http://bbs.5dmail.net/)