文章导航绿软下载站软件下载安卓资源苹果资源专题

您当前所在位置:首页服务器MAIL服务器 → Winwebmail终极安全设置FOR IDC,避免ASP/ASP.NET跨站攻击危险

Winwebmail终极安全设置FOR IDC,避免ASP/ASP.NET跨站攻击危险

时间:2015/6/28来源:IT猫扑网作者:网管联盟我要评论(0)

另外,如果win2003下WINWEBMAIL登录老说密码错误的解决方法,也可以如下解决。

 以前安装WINWEBMAIL,通常大家都是参照官方的说明,给Winwebmail目录users组甚至是Everyone可写权限。

好一点的就将Winwebmail的安装目录改的很复杂来躲避黑客的跨站攻击。

就这一点来讲,我觉得WINWEBMAIL官方对于目录权限的设置其实说的太过简单,有点不负责任的感觉。

下午我仔细分析了WINWEBMAIL的目录安全设置。即使按照一些特殊处理过能够防止ASP跨站攻击的设置,其实依然很容易被人ASP.NET跨站攻击 。实际上经过测试,我没有花太多工夫就跑进了一位协助测试的同志服务器的Winwebmail目录。并且可以随意修改里面的东西了。

具体"黑"的过程就不讲述了。以免被别有用心之人利用。

下面讲下具体操作流程,

1、安装完WINWEBMAIL

2、新建立一个USER,属于GUESTS组,如:mail_vistor。(*注:如果使用iis自带的IUSR_XXX来宾用户。那么这一步可以省略)。

3、新建立一个USER,属于IIS_WPG组,如:mail_worker。

4、打开IIS,新建立一个进程池,命名, 如:mail_process。启动权限用户设置为:mail_worker

5、打开IIS,新建立一个站点,指定主文档目录为WINWEBMAIL目录下WEB目录。并指定进程池为mail_process.
在目录安全性,里编辑匿名访问用户为:mail_vistor(或者默认为IUSR_XXX,二个用户选一即可)。

6、给安装WINWEBMAIL的盘符根目录比如:E盘,管理员和mail_vistor(或IUSR_XXX)只读权限。

7、给WINWEBMAIL目录IIS_WPG组、mail_vistor以及管理员三者可读写权限。

    添加network service和aspnet 两个用户,权限设置为拒绝访问。

添加运行ASP用户组,比如hzhost用户,可能为hostgroup用户组,权限为:拒绝访问。(具体ASP的防止跨站的权限设计网站上大把,我就简单带过。)

8、重新启动IIS及WINWEBMAIL服务,即可。

这样操作后已经大体封锁了来自除了邮件WEB程序以外的其他asp,asp.net的程序攻击了。目前我测试各方面正常。具体防止WEB目录程序攻击WINWEBMAIL的详细设置,就各人喜欢再继续深入设置,我就不具体讲了。

结束:如果你不是很了解权限的设置,你还可以简单的这样操作,将WINWEBMAIL安装到一个不容易猜解的目录里,比如:E:\XX73C3DA
这种名字的目录。然后备份c:\windows目录下WEMINSTALL.LOG这个文件并删除。(备份的作用,我是怕以后升级winwebmail需要使用这个log文件。具体是否需要没有测试过。我就是通过这个文件找出了测试服务器的具体安装位置的。),但为了避免其他地方可能还暴露出安装位置,建议你还是按照我的教程进行设置一下吧。

关键词标签:Winwebmail,ASP/ASP.N

相关阅读

文章评论
发表评论

热门文章 用WebEasyMail架构Web邮件服务器用WebEasyMail架构Web邮件服务器安全技巧:设置Linux邮件服务器安全策略(二安全技巧:设置Linux邮件服务器安全策略(二安全技巧:设置Linux邮件服务器安全策略(一安全技巧:设置Linux邮件服务器安全策略(一巧妙配置Win2003自带mail服务器巧妙配置Win2003自带mail服务器

相关软件

人气排行 基于openldap邮件系统的完全ports安装Winwebmail终极安全设置FOR IDC,避免ASP/ASP.NET跨站攻击危险用WebEasyMail架构Web邮件服务器打造一个百毒不侵的Imail服务器安全技巧:设置Linux邮件服务器安全策略(一)邮件服务器变慢的原因用MDaemon搭建邮件服务器Linux邮件服务器常见错误报告汇总