伤心——谁能帮我解决winwebmail安全配置问题？好着急啊……

kecola

先向您说声谢谢!

我的winwebmail是安装在 D 盘，但D盘我还放了其他软件备份的文件。

按照winwebmail官方的要求：
D:\WinWebMail (及其所有子目录) Users 或 Everyone 完全控制
D:\ 根目录  Users 读取
——————————————
1、用 探针 可以看到 D盘，这很麻烦啊！
     我找了很多教程。但是D盘只要不给 user 读取 权限，Winwebmail就无法通过浏览器登陆！

2、我无法给 D盘CREATOR OWNER 完全控制 权限，我只要一加CREATOR OWNER完全控制，并确定，然后再看 安全里，就多了
   administrators（无任何权限） 和 CREATOR OWNER （无任何权限）两个。

为什么呢？我很郁闷！  请依次按1-2回复，谢谢！



———————————————————————————————————————————————————
我参照的相关技术资料：
A、Winwebmail 电子邮局安装后权限举例 （您随便搜索一下就可以看到）
B、WIN2003+WinWebMail 3.7.1.1的权限控制（WinWebMail是一款简单易用，功能强大的邮件服务器系统，很多人都在用，但不知道作者是怎么考虑的，该系统的权限控制始终是个难以解决的问题，网上有很多谈到WinWebMail邮件服务器软件的权限控制的文章，尤其是一些邮件技术社区，但是其控制方式多多少少有一些小小的缺憾。……）  您随便搜索一下也可以找到。。。

humbass

要实现web匿名访问，iis需要系统提供users权限。

wjmhxd

原帖由 humbass 于 2008-2-24 08:16 发表
说了半天等于没说。

主要的原因还是楼主的要求过于bt。

正常情况下 wwm要求安装在独立的一个分区上的。

安装在独立分区上是必须的，但是USERS权限在WEB里的危害有多大在网上搜一下就很清楚，如果整个目录users都可以操作，上传一个木马那wwm程序和mail数据库都会遭到非常严重的破坏，这个是不可恢复的

e66478

怎么说他要求BT呢，winwebmail要给修改和写入权才能上传附件。这样的话用webshell就可以把mail目录删除了，用户数据都没了。

humbass

说了半天等于没说。

主要的原因还是楼主的要求过于bt。

正常情况下 wwm要求安装在独立的一个分区上的。

e66478

事实上这个办法非常好解决，还有人说D：给USERS没安全隐患的站出来！
http://www.iis500.com/downinfo/1686.html  下载这样的探针看看。把你的网站数据库配置文件下载下去，就可以看见用户和密码了。有的PHP论坛数据库是在别的服务器的，连接上去一个drop databases; 就完蛋了。
Duron的方法就是最好的。我已经这样运行了。各位大虾！！  此方法有效！
还有个问题，WinWebMail\mail 这个目录要给写入和修改权限，总之WinWebMail下好多文件都要给修改权。用这个webshell又可以修改和删除了。

rayer

晕倒,11楼要收费   期待 Duron大兄弟的研究成果

Duron

刚刚发现 Winwebmail是以本地系统帐号运行的，那么给它改一个登陆帐号，然后给这个帐号权限不就行了么，那样别人除非拿到你winwenmail的shell，否则无法读取你的目录，此方法没有测试，等我回学校再测试，还请各位朋友帮忙测试啊

anyliz

原帖由 rayer 于 2008-2-21 12:08 发表
我kao,来个牛人,就是不知道是不是真的.

winwebmail的权限我也研究过，确实如11楼所说一样呀，不过官方上的权限没有划分细和严格罢了
要做一下还是很简单的
只要花点心思研究权限，就可以确保winwebmail的安全了

Duron

给users读权限不会出什么安全问题，别人顶多看到你的目录，又不能搞破坏，其他目录不要继承D盘权限，删除users权限，应该没什么问题了，和server-U的权限要求差不多（主目录的父目录至少有读取权限），另外 重要文件不要放D盘，比如杀毒软件注册码什么的，我曾经就从一个服务器上偷到一个瑞星的注册码，还用了好久