邮件服务器-邮件系统-邮件技术论坛(BBS)

标题: 看到网上一直在讨论winwebmail的安全问题,我来说一种----绿色安全可行的方式 [打印本页]

作者: ilovefreed 时间: 2008-3-4 14:45
标题: 看到网上一直在讨论winwebmail的安全问题,我来说一种----绿色安全可行的方式
1,先下载一个winwebmail 企业版本 http://www.winwebmail.com/wemdownent.html

2,下载一个解压缩软件(很有名,专门搞绿色安装用到的) http://uniextract.c1pher.com/uniextract16beta_noinst.rar

3,用 UniExtract.exe 解开winwebmail.exe, 解压出来是目录 MAINDIR,SYS32,把目录SYS32下的4个文件移到MAINDIR目录,删除SYS32目录

4,把MAINDIR目录下的Web目录改名,例如为mailweb(web方式访问邮箱的ASP文件),然后剪贴到,服务器专门放网站ASP文件的目录,例如 D:\mywebsite\mailweb,把MAINDIR先改名为很复杂的目录名,像my_email_system_2008,把这个目录剪贴到另外的盘根目录例如,C:\my_email_system_2008

5,设置 C:\ 权限为 Administrators完全控制,Users 在允许列全不选,在高级--->进去,只有该目录读取权限
设置C:\my_email_system_2008 为 Everyone 完全控制,设置D:\mywebsite\mailweb IUSR_机器名(Internet来宾帐号) 只读

6,架一个IIS的站点,允许匿名可以访问,允许权限读取和运行脚本 ,目录为 D:\mywebsite\mailweb

7,在CMD状态,进入C:\my_email_system_2008 目录,

执行:
regsvr32 /s easymail.dll
regsvr32 /s emsms.dll
emsvr.exe -reg

OK,全部搞定.基本非常安全了.

[ 本帖最后由 ilovefreed 于 2008-3-4 14:47 编辑 ]

作者: liyixin 时间: 2008-3-4 20:21
给点个人意见：我认为楼上的把主目录设置成Everyone的完全控制权限实在是冒险，并且没有什么必要。目前根据个人实测，将user权限给成读取或运行就可以了，没必要改成完全控制。当然，可能有人会说这样设置之后，使用web方式admin管理邮件系统配置会出现设置信息存不上的情况，不过这样的情况我都是通过直接使用第三方软件来直接操作服务器端程序。以上权限设置确保最大限度保证系统目录的安全性。经实际测试，效果不错。个人意见，供大家参考。

作者: rayman 时间: 2008-3-4 20:25
本人的总体评价——行不通！

作者: ilovefreed 时间: 2008-3-5 10:23

原帖由 rayman 于 2008-3-4 20:25 发表
本人的总体评价——行不通！

不知这位仁兄试过没有,敝人提供的次方法已属于非常安全,Winwebmail 也不会出现问题的一种方法.

关键的要点是:
1 ,Winwebmail 主目录的目录名搞的非常复杂,就算被上传了ASP木马,因为根目录不能被遍历,所以一年也猜不到邮件的主目录,所以不怕邮件被删除等等

2,Winwebmail 主目录设置为 Everyone 完全控制 ,省掉所有容易碰到的问题,web下不能登录,不能删除邮件...等等情况,万事大吉

3,将web页面与主站点分开,更加保护邮件主目录

其实 winwebmail 与整个服务器的安全设置有关系,如果服务器 webshell 是别人的,这个服务器基本也就不属于你自己的了

作者: humbass 时间: 2008-3-5 14:38
这个是否user权限就可以了？
“2,Winwebmail 主目录设置为 Everyone 完全控制”

作者: ilovefreed 时间: 2008-3-5 16:26

原帖由 humbass 于 2008-3-5 14:38 发表
这个是否user权限就可以了？
“2,Winwebmail 主目录设置为 Everyone 完全控制”

user权限够了

,不过我一直用 Everyone的

简单省事

作者: rayer 时间: 2008-3-5 16:39
users就可以了,确实不需要everyone

欢迎光临邮件服务器-邮件系统-邮件技术论坛(BBS) (http://bbs.5dmail.net/)