遠程分析win2003 IIS安全設置第2/2頁
2024-08-29 03:07:56
供稿：網友
要確定NTLM選項是否開啟則可以向IIS發送如下請求
GET / HTTP/1.1
Host: iis-server
Authorization: NegotiateTlRMTVNTUAABAAAAB4IAoAAAAAAAAAAAAAAAAAAAAAA=
同樣，如果返回401消息，則說明支持NTLM，返回200說明不NTLM認證選項沒有開啟。
對于大多數網站來說，這兩種認證方式都是不需要開起來的，他們有可能泄露一些服務器的重要信息。
泄露內部IP地址信息
如果IIS服務器在一個使用NAT的防火墻里面的話，通常都有個內部地址如10.x.x.x。
如果IIS開啟了基本認證選項，那么發送如下一個簡單的請求就可以得到服務器的內部IP：
GET / HTTP/1.1
Host:
Authorization: Basic c3lzdGVtOm1hbmFnZXIA
服務器將返回一個如下響應：
HTTP/1.1 401 Access Denied
Server: Microsoft-IIS/5.0
Date: Fri, 01 Mar 2002 15:45:32 GMT
WWW-Authenticate: Basic realm="10.1.1.2"
Connection: close
Content-Length: 3245
Content-Type: text/html
那個10.1.1.2就是機器的內部ip地址，本來realm的值是客戶端提供給的一個主機頭，但這里它是空的，所以IIS就選擇了本機的IP地址來代替。同樣的，利用PROPFIND,WRITE,MKCOL等請求的返回信息，也能泄露主機的一些信息，如我們向服務器提請下面這樣一個請求：
PROPFIND / HTTP/1.1
Host:
Content-Length: 0
在IIS配置成使用主機名（見后）的情況下，則不會暴露主機的IP地址，但是會暴露NetBIOS名。事實上我們可以利用IIS的認證獲得更多的信息，如所在域的名字，方法是向服務器發送如下帶NTLM認證的請求：
GET / HTTP/1.1
Host: iis-server
Authorization: NegotiateTlRMTVNTUAABAAAAB4IAoAAAAAAAAAAAAAAAAAAAAAA
服務器會返回一個信息：
HTTP/1.1 401 Access Denied
Server: Microsoft-IIS/5.0
Date: Fri, 01 Mar 2002 16:24:58 GMT
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAADAAMADAAAAAFgoKgeGvyVuvy67U
AAAAAAAAAAEQARAA8AAAAUwBDAFkATABMAEEAAgAMAFMAQwBZAEwATABBAAEA
DABTAEMAWQBMAEwAQQAEAAwAUwBDAFkATABMAEEAAwAMAFMAQwBZAEwATABB
AAAAAAA=
Content-Length: 3245
Content-Type: text/html
那一長串字符就包含了主機名和NT所在域的名字的base 64 編碼。
臨時解決方法：在cmd下進入c:/inetpub/adminscripts或者是adminiscript所在目錄執行一下命令
adsutil set w3svc/UseHostName True
net stop iisadmin /y
net start w3svc
默認應用程序映射判斷
判斷默認映射是否存在比較簡單，這里只簡單的給出了在映射存在的情況下對于相應請求的響應：
擴展名： .printer
請求： http://iis-server/foo.printer
響應： HTTP 500 - 內部服務器錯誤
擴展名：.idc
請求： http://iis-server/foo.idc
響應： code 500 Internal Server Error
擴展名：.idq
請求： http://iis-server/foo.idq
