遠(yuǎn)程分析IIS設(shè)置
2024-08-29 03:16:04
供稿：網(wǎng)友
提起微軟公司IIS web服務(wù)器的安全問(wèn)題,很多人立刻就會(huì)聯(lián)想到那些為人們所稱頌的致命
漏洞: UNICODE , CGI 解析, .ida,idq, .Printer遠(yuǎn)程溢出等. 這些偉大的漏洞恐怕是我等scripts
kidding的最?lèi)?ài)了,利用他們可以很輕松的拿到較高的系統(tǒng)權(quán)限。但是這篇文章并非是討論這些致命的漏洞的，只是比較詳細(xì)的介紹了如何遠(yuǎn)程判斷IIS 服務(wù)器的各種設(shè)置，如目錄權(quán)限，認(rèn)證方法等等，文中有些東西已經(jīng)很老了，但是新的東西還是值得一看的。 希望本文能夠起到一個(gè)拋磚引玉的作用。好了，廢話少說(shuō)，Go~!
遠(yuǎn)程確定目錄權(quán)限
讓我們打開(kāi)一個(gè)IIS服務(wù)器來(lái)看看。在IIS 服務(wù)管理器中，選擇一個(gè)目錄，看他的屬性
在目錄屬性項(xiàng)有有這么一些選項(xiàng)（日志訪問(wèn)和索引此資源不計(jì)）：
腳本資源訪問(wèn)：對(duì)網(wǎng)站的腳本可以讀取原文件。
讀取 讀取目錄里面的靜態(tài)資源。
寫(xiě)入 用戶可以建立以及刪除資源
目錄瀏覽 用戶可以瀏覽目錄內(nèi)容。
應(yīng)用程序設(shè)置的執(zhí)行許可中有三個(gè)選項(xiàng)：
無(wú) 只能訪問(wèn)靜態(tài)頁(yè)面
純腳本 只允許允許腳本如ASP腳本
腳本和可執(zhí)行程序 可以訪問(wèn)和執(zhí)行各種文件類(lèi)型
那么，如何確定服務(wù)器上面的這些開(kāi)關(guān)設(shè)置呢？ 別著急，一個(gè)一個(gè)來(lái)。
執(zhí)行權(quán)限
如何確定某個(gè)目錄是否開(kāi)了執(zhí)行權(quán)限呢？很簡(jiǎn)單，向服務(wù)器發(fā)送一個(gè)下面得請(qǐng)求：
/dir/為要判斷得目錄，no-such-file.dll是隨便取得一個(gè)名字，服務(wù)器上面沒(méi)有這個(gè)文件。
服務(wù)器對(duì)我們得請(qǐng)求會(huì)返回一個(gè)信息。如果返回的是一個(gè)500錯(cuò)誤：
HTTP 500 - 內(nèi)部服務(wù)器錯(cuò)誤 （Internal Server error）
那么就說(shuō)明這個(gè)目錄的執(zhí)行權(quán)限是開(kāi)著的。 對(duì)于服務(wù)器，能不開(kāi)執(zhí)行權(quán)限的就不要開(kāi)。特別是虛擬目錄的執(zhí)行權(quán)限，大家想一想U(xiǎn)NICODE和二次解碼漏洞的利用過(guò)程就明白了。
如果服務(wù)器返回的是一個(gè) 404 錯(cuò)誤：
HTTP 404 - 未找到文件
那么就說(shuō)明這個(gè)目錄的執(zhí)行權(quán)限沒(méi)有開(kāi)。
寫(xiě)權(quán)限
測(cè)試一個(gè)目錄對(duì)于web用戶是否具有寫(xiě)權(quán)限，采用如下方法：
telnet 到服務(wù)器的web端口(80)并發(fā)送一個(gè)如下請(qǐng)求：
PUT /dir/my_file.txt HTTP/1.1
Host: iis-server
Content-Length: 10 <enter><enter>
這時(shí)服務(wù)器會(huì)返回一個(gè)100( 繼續(xù))的信息：
HTTP/1.1 100 Continue
Server: Microsoft-IIS/5.0
Date: Thu, 28 Feb 2002 15:56:00 GMT
接著，我們輸入10個(gè)字母：
AAAAAAAAAA
送出這個(gè)請(qǐng)求后，看服務(wù)器的返回信息，如果是一個(gè) 201 Created響應(yīng)：
HTTP/1.1 201 Created
Server: Microsoft-IIS/5.0
Date: Thu, 28 Feb 2002 15:56:08 GMT
Location:
Content-Length: 0
Allow: OPTIONS, TRACE, GET, HEAD, DELETE, PUT, COPY, MOVE, PROPFIND,
PROPPATCH, SEARCH, LOCK, UNLOCK
那么就說(shuō)明這個(gè)目錄的寫(xiě)權(quán)限是開(kāi)著的，反之，如果返回的是一個(gè) 403 錯(cuò)誤，那么寫(xiě)權(quán)限就是
沒(méi)有開(kāi)起來(lái)，如果需要你認(rèn)證，并且返回一個(gè) 401(權(quán)限禁止) 的響應(yīng)的話，說(shuō)明是開(kāi)了寫(xiě)權(quán)限，但是匿名用戶不允許。 如果一個(gè)目錄同時(shí)開(kāi)了”寫(xiě)”和“腳本和可執(zhí)行程序”的話，那么web用戶就可以上傳一個(gè)程序并且執(zhí)行它，恐怖哦%^#$!~
純腳本執(zhí)行權(quán)限
這樣的目錄就太多了。很多不需要給執(zhí)行權(quán)限的目錄也被管理員給了腳本執(zhí)行權(quán)限，我記得在
shotgun的一篇文章里面他說(shuō)過(guò)：最小的權(quán)限＋最少的服務(wù)＝ 最大的安全 ； 一點(diǎn)也沒(méi)有錯(cuò)。給目錄任何多余的權(quán)限都是沒(méi)有必要的。判斷一個(gè)目錄是否可以執(zhí)行純腳本文件也很簡(jiǎn)單，發(fā)送一個(gè)如下一個(gè)請(qǐng)求：
返回404文件不存在說(shuō)明有執(zhí)行權(quán)限，返回403則是沒(méi)有開(kāi)。
瀏覽目錄權(quán)限
判斷一個(gè)目錄是否允許瀏覽可能需要一點(diǎn)點(diǎn)小技巧，但是，在網(wǎng)站的默認(rèn)首頁(yè)(如:default.asp)不存在的話，那么就再簡(jiǎn)單不過(guò)了。 在瀏覽器里面輸入：
如果權(quán)限開(kāi)著的，那么會(huì)返回200響應(yīng)，并且列出當(dāng)前目錄里面的內(nèi)容，反之，沒(méi)有列出目錄的話就是關(guān)了。 但是，如果默認(rèn)頁(yè)面default.asp存在呢？敲入上面的地址就直接打開(kāi)這個(gè)頁(yè)面了。別急，
WebDAV 里面有一個(gè)請(qǐng)求方法叫：PROFIND。這個(gè)方法使得我們可以從服務(wù)器資源里面得到一些如文件名，創(chuàng)建時(shí)間，最后修改時(shí)間等等的信息。利用它我們也可以繞過(guò) default.asp 來(lái)判斷目錄瀏覽權(quán)限的情況， telnet到IIS-server的web端口，發(fā)送如下請(qǐng)求：
PROPFIND /dir/ HTTP/1.1
Host: iis-server
Content-Length: 0
這時(shí)，服務(wù)器會(huì)送回一個(gè)207 Multi Status的響應(yīng)，如果目錄是允許瀏覽的，那么同時(shí)會(huì)列出目錄里面的資源以及他們的屬性。如果目錄瀏覽不允許，返回的信息就會(huì)少的多。目錄瀏覽一般來(lái)說(shuō)只能算是一個(gè)低危險(xiǎn)等級(jí)的漏洞，比如一個(gè)images目錄，里面除了圖片沒(méi)有別的東西了，那對(duì)于服務(wù)器的安全就沒(méi)有什么危害，但是，如果目錄里面放了一個(gè)管理頁(yè)面adminpage.asp或者一些數(shù)據(jù)庫(kù)連接信息文件，可能會(huì)導(dǎo)致你的服務(wù)器拱手相讓給入侵者。
讀權(quán)限
判斷這點(diǎn)很容易，發(fā)一個(gè)帶 txt文件的請(qǐng)求就可以：
如果返回一個(gè) 404 文件不存在的響應(yīng)，就說(shuō)明讀權(quán)限是開(kāi)著的,反正，返回403錯(cuò)誤則說(shuō)明都權(quán)限沒(méi)有開(kāi)。早幾年接觸安全的人一定知道 ::$DATA泄露ASP源代碼的漏洞，其實(shí)如果一個(gè)目錄里面權(quán)勢(shì)asp腳本的話，那么讀權(quán)限也可以不用開(kāi)的，ASP只需要腳本執(zhí)行權(quán)限就可以了。
IIS 認(rèn)證方法的判斷
這個(gè)漏洞是最近才公布出來(lái)的，IIS服務(wù)器支持匿名訪問(wèn)，基本認(rèn)證和使用NTLM方式的windows集成認(rèn)證，如果客戶端發(fā)送一個(gè)包含認(rèn)證信息的請(qǐng)求，IIS就會(huì)強(qiáng)行的嘗試用這些認(rèn)證信息取認(rèn)證，并且放回不會(huì)的響應(yīng)。這樣我們就能夠確定IIS的認(rèn)證的配置。
要確定IIS是否支持基本認(rèn)證，可以telnet到服務(wù)器的80端口，發(fā)送如下請(qǐng)求：
GET / HTTP/1.1
Host: iis-server
Authorization: Basic c3lzdGVtOm1hbmFnZXIA
這是一個(gè)基本認(rèn)證的請(qǐng)求，里面包含了一個(gè)base 64編碼的用戶ID和PASS，Basic后面那串字符經(jīng)過(guò)base 64解碼以后就是 system:manager 。如果服務(wù)器返回一個(gè)401信息，則說(shuō)明基本認(rèn)證選項(xiàng)是開(kāi)著的。如果返回200信息，則有2種可能，基本認(rèn)證選項(xiàng)沒(méi)有開(kāi)或者是服務(wù)器存在一個(gè)用戶名是
system的用戶名，并且密碼是manager (猜中的話，行大運(yùn)啦)。
要確定NTLM選項(xiàng)是否開(kāi)啟則可以向IIS發(fā)送如下請(qǐng)求
GET / HTTP/1.1
Host: iis-server
Authorization: NegotiateTlRMTVNTUAABAAAAB4IAoAAAAAAAAAAAAAAAAAAAAAA=
同樣，如果返回401消息，則說(shuō)明支持NTLM，返回200說(shuō)明不NTLM認(rèn)證選項(xiàng)沒(méi)有開(kāi)啟。
對(duì)于大多數(shù)網(wǎng)站來(lái)說(shuō)，這兩種認(rèn)證方式都是不需要開(kāi)起的來(lái)，他們有可能泄露一些服務(wù)器的重要信息。
泄露內(nèi)部IP地址信息
如果IIS服務(wù)器在一個(gè)使用NAT的防火墻里面的話，通常都有個(gè)內(nèi)部地址如10.x.x.x。
如果IIS開(kāi)啟了基本認(rèn)證選項(xiàng)，那么發(fā)送如下一個(gè)簡(jiǎn)單的請(qǐng)求就可以得到服務(wù)器的內(nèi)部IP：
GET / HTTP/1.1
Host:
Authorization: Basic c3lzdGVtOm1hbmFnZXIA
服務(wù)器將返回一個(gè)如下響應(yīng)：
HTTP/1.1 401 Access Denied
Server: Microsoft-IIS/5.0
Date: Fri, 01 Mar 2002 15:45:32 GMT
WWW-Authenticate: Basic realm="10.1.1.2"
Connection: close
Content-Length: 3245
Content-Type: text/html
那個(gè)10.1.1.2就是機(jī)器的內(nèi)部ip地址，本來(lái)realm的值是客戶端提供給的一個(gè)主機(jī)頭，但這里它是空的，所以IIS就選擇了本機(jī)的IP地址來(lái)代替。同樣的，利用PROPFIND,WRITE,MKCOL等請(qǐng)求的返回信息，也能泄露主機(jī)的一些信息，如我們向服務(wù)器提請(qǐng)下面這樣一個(gè)請(qǐng)求：
PROPFIND / HTTP/1.1
Host:
Content-Length: 0
在IIS配置成使用主機(jī)名（見(jiàn)后）的情況下，則不會(huì)暴露主機(jī)的IP地址，但是會(huì)暴露NetBIOS名。事實(shí)上我們可以利用IIS的認(rèn)證獲得更多的信息，如所在域的名字，方法是向服務(wù)器發(fā)送如下帶NTLM認(rèn)證的請(qǐng)求：
GET / HTTP/1.1
Host: iis-server
Authorization: NegotiateTlRMTVNTUAABAAAAB4IAoAAAAAAAAAAAAAAAAAAAAAA
服務(wù)器會(huì)返回一個(gè)信息：
HTTP/1.1 401 Access Denied
Server: Microsoft-IIS/5.0
Date: Fri, 01 Mar 2002 16:24:58 GMT
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAADAAMADAAAAAFgoKgeGvyVuvy67U
AAAAAAAAAAEQARAA8AAAAUwBDAFkATABMAEEAAgAMAFMAQwBZAEwATABBAAEA
DABTAEMAWQBMAEwAQQAEAAwAUwBDAFkATABMAEEAAwAMAFMAQwBZAEwATABB
AAAAAAA=
Content-Length: 3245
Content-Type: text/html
那一長(zhǎng)串字符就包含了主機(jī)名和NT所在域的名字的base 64 編碼。
臨時(shí)解決方法：在cmd下進(jìn)入c:/inetpub/adminscripts或者是adminiscript所在目錄執(zhí)行一下命令
adsutil set w3svc/UseHostName True
net stop iisadmin /y
net start w3svc
默認(rèn)應(yīng)用程序映射判斷
判斷默認(rèn)映射是否存在比較簡(jiǎn)單，這里只簡(jiǎn)單的給出了在映射存在的情況下對(duì)于相應(yīng)請(qǐng)求的響應(yīng)：
擴(kuò)展名： .printer
請(qǐng)求：
響應(yīng)： HTTP 500 - 內(nèi)部服務(wù)器錯(cuò)誤
擴(kuò)展名：.idc
請(qǐng)求：
響應(yīng)： code 500 Internal Server Error
擴(kuò)展名：.idq
請(qǐng)求：
響應(yīng)碼：200 OK
響應(yīng)：找不到 IDQ 文件 D:/dir//foo.idq
擴(kuò)展名：.ida
請(qǐng)求：
響應(yīng)碼：200 OK
響應(yīng)： 找不到 IDQ 文件 D:/dir/foo.ida
擴(kuò)展名：.htr
請(qǐng)求：
響應(yīng)： HTTP 404 - 未找到文件
擴(kuò)展名：.htw
請(qǐng)求：
響應(yīng)碼： 200 OK
響應(yīng)： QUERY_STRING 的格式無(wú)效
擴(kuò)展名：.stm
請(qǐng)求：
響應(yīng)： HTTP 404 - 未找到文件
擴(kuò)展名：.shtm
請(qǐng)求：
響應(yīng)： HTTP 404 - 未找到文件
擴(kuò)展名：.shtml
請(qǐng)求：
響應(yīng)：HTTP 404 - 未找到文件
判斷操作系統(tǒng)是否為個(gè)人版本(Professional/Workstation )
IIS安裝在windows2000專業(yè)版和NT workstation上面時(shí)候，同時(shí)進(jìn)行的連接數(shù)最大為10個(gè)，利用這一點(diǎn)我們可以簡(jiǎn)單判斷操作系統(tǒng)版本：創(chuàng)建10個(gè) HTTP 1.1的持續(xù)連接，第11個(gè)連接請(qǐng)求將放回403錯(cuò)誤信息。
后話：由于各種原因，我所在的公司關(guān)門(mén)大吉了，沒(méi)有工作，心就亂糟糟的，所以翻譯的時(shí)候也是砍頭去尾的，大家不要罵我，我拿去黑客防線騙稿費(fèi)的啦。如果有不明白的地方可以參考以下幾篇：
英文原文
