如何禁用 Exchange Server 2007年中的 Outlook Web Access 中的选项面板

文章翻译 文章翻译
文章编号: 2299129 - 查看本文应用于的产品
展开全部 | 关闭全部

本文内容

简介

本文介绍如何禁用在 Outlook Web Access (OWA) Exchange Server 2007年中的选项面板。目的是要提供一种解决的公开披露的 Exchange 漏洞。

该漏洞是与在其中用户欺骗访问恶意网页,专门为 Exchange 组织的目标编制跨站点请求伪造攻击。这可能允许攻击者以代表用户执行操作,并将其他 OWA 用户选项的更改 (如添加新的收件箱规则。

为了减少这种攻击的风险,可以通过使用 UrlScan 禁用选项面板。您可以使用 UrlScan 阻止已知的用于访问 OWA 中的选项页面的 Url 的部件。

注意选项页是大多数用户级别设置和规则在 OWA 中的驻留的位置。

更多信息

UrlScan


UrlScan 是 anIIS 功能,它使用 ISAPI 筛选器处理 http 请求发送到 OWA 网站。每个请求,通过 Exchange Server.There 处理请求之前此筛选器的第一刀路是可预测的模式中的查询字符串部分,并传送到选项面板中的每个请求的正文。可预测的模式可用于有选择地拒绝请求。

注意UrlScan 将拒绝访问或选项的项目或在 OWA 中的规则进行更新的每个请求。这些来自组织内的合法用户的 includerequests。

若要下载 UrlScan 32 位,请访问下面的 Microsoft 网站:
下载 UrlScan 32 位
若要下载 UrlScan 64 位,请访问下面的 Microsoft 网站:
下载 UrlScan 64 位
关于 UrlScan 的详细信息,请访问下面的 Microsoft 网站:
UrlScan 的常规信息

如何禁用 Exchange Server 2007年中的选项面板


设置


您必须设置 UrlScanas 的 OWA 网站的筛选器。有关如何设置 UrlScan 的详细信息,请访问以下网站:
如何设置 UrlScan

在安装 UrlScan 之后,在您的计算机上的 ISAPI 筛选器如下所示:
收起这个图片展开这个图片
屏幕快照的 ISAPI 筛选器。


TheUrlScan.ini 文件设置


请将文件设置下显示的设置。在"DenyOWAOptions"中指定的所有字符串中都搜索 URL 和查询字符串中。如果发生时,请求将被拒绝通过 IIS。
[Options]

UseAllowVerbs=0

AllowDotInPath=1?

RuleList=BlockOptionsInOWA



[BlockOptionsInOWA]

ScanURL=1

ScanQueryString=1

DenyDataSection=DenyOWAOptions



[DenyOWAOptions]

ae=Options

ns=Options

ns=RulesOptions

ns=JunkEmail

ns=DumpsterListView

最终用户体验


在安装 UrlScan 并配置设置后,用户可以登录到 OWA 图片如下所示:
收起这个图片展开这个图片
屏幕快照的 OWA。




但是,当用户单击右上角的选项按钮上时,用户会收到下面的 403 错误消息:
收起这个图片展开这个图片
屏幕截图 403 错误。




管理任务


UrlScan 安装目录也有日志文件,其中包含被阻止的请求以及阻止的原因的详细信息。例如,您可能会看到一些信息类似于日志文件中的以下信息:
2010-07-16 23:50:23 157.56.147.48 1 GET /owa/?ae=Options&opturl=Messaging Rejected rule+'BlockOptionsInOWA'+triggered query+string - ae=options

管理员可以使用标准的 IIS 日志分析工具例如,LogParser,以获得更多的信息和统计信息的日志。有关如何查询这些日志的详细信息,请访问以下网站:
如何查询日志

如何禁用 Exchange Server 2003年中的选项面板

UrlScan 不能用于在 Exchange Server 2003年中禁用选项面板或规则面板。

属性

文章编号: 2299129 - 最后修改: 2013年10月29日 - 修订: 3.0
这篇文章中的信息适用于:
  • Microsoft Exchange Server 2003 Standard Edition
  • Microsoft Exchange Server 2003 Enterprise Edition
  • Microsoft Exchange Server 2003 Service Pack 1
  • Microsoft Exchange Server 2003 Service Pack 2
  • Microsoft Exchange Server 2007 Enterprise Edition
  • Microsoft Exchange Server 2007 Service Pack 1
  • Microsoft Exchange Server 2007 Service Pack 2
  • Microsoft Exchange Server 2007 Service Pack 3
  • Microsoft Exchange Server 2007 Standard Edition
关键字:?
kbsurveynew kbfix kbexpertiseinter kbmt KB2299129 KbMtzh
机器翻译
重要说明:本文是由 Microsoft 机器翻译软件进行的翻译并可能由 Microsoft 社区通过社区翻译机构(CTF)技术进行后期编辑,或可能是由人工进行的翻译。Microsoft 同时向您提供机器翻译、人工翻译及社区后期编辑的文章,以便对我们知识库中的所有文章以多种语言提供访问。翻译的文章可能存在词汇、句法和/或语法方面的错误。Microsoft 对由于内容的误译或客户对内容的使用所导致的任何不准确、错误或损失不承担责任。
点击这里察看该文章的英文版: 2299129
Microsoft和/或其各供应商对于为任何目的而在本服务器上发布的文件及有关图形所含信息的适用性,不作任何声明。 所有该等文件及有关图形均"依样"提供,而不带任何性质的保证。Microsoft和/或其各供应商特此声明,对所有与该等信息有关的保证和条件不负任何责任,该等保证和条件包括关于适销性、符合特定用途、所有权和非侵权的所有默示保证和条件。在任何情况下,在由于使用或运行本服务器上的信息所引起的或与该等使用或运行有关的诉讼中,Microsoft和/或其各供应商就因丧失使用、数据或利润所导致的任何特别的、间接的、衍生性的损害或任何因使用而丧失所导致的之损害、数据或利润不负任何责任。

提供反馈

 

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com