对winmail的权限严重不满

uk101

哈哈.一点问题都没有.新建一个用户专门给邮局使用.非常安全.

xjyzhenai

　　我就是想和大家讨论安全的问题。阿丑，你帮别人做主机管理系统，应该知道服务器的安全有多重要。你是想说，winmail的权限设置没有问题么？如果你说没有问题，我只好说你外行。<br>
　　only ，当然，都会有问题。但是问题出现了，如何解决？你有什么好的方法？听你的口气，好像这个问题对你来说不是问题。<br>
　　uk101 所说的，我想我们每个人都是这样做的。但是你能把这个用户的权限分配给根驱动器？<br>
　　不要让我这个新人觉得你们都是外行。要是哪位不相信的话，请公布你主机的IP。明天等着哭吧。

rayer

首先追根求底的话，这是一个需要读写数据的COM组件的权限分配问题。你用任何锲入asp的读写COM件都必须要给这个权限，否则没法工作。根驱动器的问题，我又找了几台机器试过先，2k3上就要求根权限，但2k上是不需要的，你自已试过看。这是为什么，我想只有问MS才知道。<br>
<br>
另外，给根驱动器权限并不是什么大事吧，比如邮局架到D盘，给D盘权限，但D盘下的所有目录都不要继承这个权限也就是了。D盘又不做系统盘，你说说看能有什么影响？

xjyzhenai

首先追根求底的话，这是一个需要读写数据的COM组件的权限分配问题。你用任何锲入asp的读写COM件都必须要给这个权限，否则没法工作。这个我很清楚。<br>
另外，给根驱动器权限当然是大事。尤其是给组权限!<br>
邮局架到D盘，你其它盘可能会放网站吧？如果通过网站攻进来，而你的D是users或everyone可读写的权限，那么，可以很轻易地切入到你的D盘，而且拥有读写权限!<br>
格你的D盘不是问题吧？

rayer

话说回来，如果D盘就安装一个邮局系统的话。你说给不给D盘权限有什么区别呢？<br>
<br>
感觉这样的争论没有什么太大意义了，因为你是假设已经通过其他途径攻入操作系统了。。。

阿丑

常见入侵分为几个等级<br>
1、通过OS或者软件漏洞攻击，一是由于没有打补丁的，二是高手们自己发现的未公布的漏洞<br>
2、端口攻击，几年前流行，现在基本不流行了<br>
3、现在流行的注入攻击，代码型的<br>
<br>
winmail的漏洞基本是没有的，代码也是很严谨，我入侵过不少机器，这个网站所在的服务器就进入过，记得是很久以前，那时候玩IMAIL，进入后找主人送了一套IMAIL的模版，呵呵<br>
<br>
服务器上装winmail是很安全的，只要自己建立一个目录，不要让所谓的黑客猜到目录位置，然后复制木马进入就可以了，大家建立虚礼主机的时候都是严格限制了权限的，只有winmail的web目录才给的是完全权限，只要不让他知道目录，不给他到这里运行木马就一般可以了<br>
<br>
当然，系统其他的漏洞就不好说了，我只是针对winmail来说

xjyzhenai

对rayer ：“话说回来，如果D盘就安装一个邮局系统的话。你说给不给D盘权限有什么区别呢？<br>
”<br>
如果装D盘，我会只给winmail目录权限，而不会给D盘权限。如果D盘给权限，别人进来以后，是不是D盘所有东西都可以XX呢？而且，winmail目录给组权限也很不安全。如果有人攻进来，D盘就算没有给权限，那是不是winmail目录下的江西也全都可以XX呢？你说说看啊。<br>
<br>
对阿丑 ：只需要一种：3、现在流行的注入攻击，代码型的<br>
这一种可以攻进服务器来吧？是以什么身份进来的呢？是以管理员分配的来宾帐号进来的。当然，我们并不知道这个帐号的帐号名。但你的winmail目录给了什么权限？winmail目录用来宾帐号是不是可以删改？而WINMAIL要求整个驱动器都要给权限!!!<br>
我跟你讨论的不是如何改WINMAIL安装目录改名字让别人猜不出来，而是说，WINMAIL这样做非常的不安全。<br>
<br>
“只有winmail的web目录才给的是完全权限，只要不让他知道目录，不给他到这里运行木马就一般可以了” 而实际中，WINMAIL要求根驱动器都给权限啊。

rayer

在D盘上只有工作目录的情况下，给予D盘读和执行权限是合情合理的。问题是xjyzhenai即认为工作目录的读写权限会给入侵者XX的机会，但同时又认可“任何锲入asp的读写COM件都必须要给这个权限”。。。<br>
<br>
改为讨论如何防止入侵是否更合适些，因为所有讨论都是根据你假设已经通过其他途径攻入操作系统的情况，从内部攻破城堡应该不是城堡的责任吧？

xjyzhenai

你会在你的NTFS工作电脑上所有驱动器都everyone 完全控制么？

rayer

当D盘上只有一个工作目录(\winwebmail)，并且，此工作目录(\winwebmail)需要Users完全控制权限，那我当然可以给D盘Users读取和执行权限！