IIS配置文件隐患

转载 2006年05月22日 14:58:00
本文的内容是如何利用IIS本身的一些特性建立后门。当然,这主要是一份供网络管理员和网络安全工作人员参考的“Know Your Enemy”类文档,作者希望这篇文章能够对检查和清除后门有所帮助,而并不鼓励或赞同利用本文的技巧进行违法活动。

首先简单介绍一下IIS的配置文件MetaBase.bin。这个文件位于%SystemRoot%/system32/inetsrv/MetaBase.bin,包含了几乎所有IIS的配置信息,是非常重要的系统文件。简单的说,我们在“intenet服务管理器”中所作的一切设置最终都会被保存在MetaBase.bin中。在日常的系统管理中除了通过“intenet服务管理器”来对MetaBase.bin进行操作外,Windows还提供了一个脚本adsutil.vbs可以对MetaBase.bin进行操作。

MetaBase的结构类似于注册表,也是树形结构,有类似键、值、项的概念。事实上在IIS3和PWS中,MetaBase的内容就是存储在注册表中的。MetaBase有两个主键:LM和Schema。其中,Schema保存了系统默认的一些配置,通常不需要修改,一旦改错也非常危险,所以无论是“intenet服务管理器”还是adsutil.vbs都没有提供修改Schema的机制。LM中包含了IIS的HTTP服务,FTP服务,SMTP服务等的配置信息。其中,LM/W3SVC/下是我们要用到的HTTP服务的配置信息。


几个下面会提到的值:

LM/W3SVC/InProcessIsapiApps,进程内启动ISAPI。这是一个数组,里面包含的是一组指向一些ISAPI的路径。在这个数组里面的ISAPI运行的时候都是由inetinfo.exe直接启动的,继承inetinfo.exe的local system权限;而不在其中的ISAPI则是由svchost.exe派生的dllhost.exe进程启动的,运行的身份是IWAM_NAME,当然,这是IIS默认的安全级别“中”的情况下,如果设为低,那么所有ISAPI都会由inetinfo.exe直接派生。另外,如果设定的时候不指定路径,而是仅指定一个扩展名,那么任何路径下的同名ISAPI在被调用的时候都会以system权限执行。

ScriptMaps,脚本映射。在某个目录下设定该值后,则向该目录请求的特定扩展名的文件会交给指定的ISAPI执行。需要强调的是,设定ScriptMaps的目录并不一定要真实存在的,只要在MetaBase中某个HTTP实例的root键下建了一个子键,对该字键同名目录的HTTP请求IIS会认为是合法的,并会交由映射的ISAPI处理。这也算是IIS的一个问题吧。

CreateProcessAsUser,在某个目录下指定改值为0,则该目录下的应用程序会继承inetinfo.exe的local system权限。

AccessWrite,决定某个目录是否允许写入,也就是WEBDAV的PUT方法。

AccessExecute,决定某个目录是否允许执行应用程序。


后门思路:

创建一个特定扩展名的脚本映射,指向我们的ISAPI,并把该ISAPI添加到InProcessIsapiApps列表中。那么我们向服务器请求该扩展名类型文件时就会在服务器上以local system权限执行该ISAPI,且所请求的文件并不需要是真实存在的。


技巧:

1、既然并不需要真的建一个目录来设定ScriptMaps,那么就可以只写一个键,并给这个键加上ScriptMaps。这样,从“intenet服务管理器”里是看不出这个目录的,更看不到这个ScriptMaps。

2、虽然“intenet服务管理器”里面看不出来,但是有经验的管理员可能习惯于偶尔用adsutil.vbs enum /p来看一下:

# adsutil.vbs enum /p /w3svc/1/root
Microsoft (R) Windows Script Host Version 5.6
版权所有(C) Microsoft Corporation 1996-2001。保留所有权利。

[/w3svc/1/root/_vti_bin]
[/w3svc/1/root/evildir]

这样就暴露了。

因为我们设的那个键并不是真实存在的虚拟目录,只是配置文件中的一个字符串,所以可以使用0x08这样的字符来做键值。0x08是Backspace键对应的16进制值,控制台上显示的效果是向左边删除一个字符,其实就是把“/”给删了:

# adsutil.vbs enum /p /w3svc/1/root
Microsoft (R) Windows Script Host Version 5.6
版权所有(C) Microsoft Corporation 1996-2001。保留所有权利。

[/w3svc/1/root/_vti_bin]
[/w3svc/1/root]

面对这种输出,一般人是不会留意的。

当然也可以设为类似_vti_script,_vti_bin这样的名字,只要不设KeyType,在“intenet服务管理器”中是看不见的。

因为系统中本身InProcessIsapiApps中有一个/WINNT/System32/msw3prt.dll,是.printer的映射,一般用不上。我们可以删掉D:/WINNT/System32/msw3prt.dll的值,换上/WINNT/System32/inetsrv/msw3prt.dll。

3、美中不足的是HTTP请求会留下痕迹,但是HTTP也有好处,那就是可以随便用一个代理服务器做跳板。另外,也可以用插入0x0D 0x0A来伪造日志的方法,(详见《Apache,IIS等多种http服务器允许通过发送回车符伪造日志》一文)这就是构造目录的技巧了。


具体实现:

当然可以用adsutil.vbs手工来加。不过需要注意,adsutil.vbs只能设,不能改,所以用adsutil.vbs的时候一定要把原先的也加上,否则原先的就会丢失。不同条目之间用空格分开。

先用下面命令取得当前的InProcessIsapiApps列表:
adsutil.vbs get /W3SVC/InProcessIsapiApps

取到之后把自己的ISAPI路径也加进去。
adsutil.vbs set /W3SVC/InProcessIsapiApps "C:/WINNT/System32/idq.dll" "C:/WINNT/System32/inetsrv/httpext.dll" ………………

ScriptMaps的设定同InProcessIsapiApps。

当然这样比较麻烦,也无法写入0x08这样的键值,所以我干脆自己写个VBS一次性搞定。至于那个做后门的ISAPI,能实现的功能就完全取决于想象力了。这里是一个简单例子的屏幕拷贝:

# nc 10.11.0.26 80
POST /%08/anything.tom

Microsoft Windows 2000 [Version 5.00.2195]
(C) 版权所有 1985-1998 Microsoft Corp.

C:/WINNT/system32>whoami
NT AUTHORITY/SYSTEM

C:/WINNT/system32>exit
HTTP/1.1 200 OK
Server: Microsoft-IIS/5.0
Date: Wed, 08 Jan 2003 06:49:37 GMT


更隐蔽的方法是写一个特殊的ISAPI,并注册为解析asp的。通常情况下,该程序把收到的请求转给系统原来的asp.dll,并把结果返回,当收到一个特殊POST请求时就启动自己的后门代码,这样日志里面也不会有什么显示。审核时也很难发现。

除了上面所述利用脚本映射的方法外,还可以赋予某个虚拟目录AccessWrite和AccessExecute权限。需要运行后门的时候利用WEBDAV上载ISAPI,然后运行,使用完了再删除。(是否能删除?还是需要restart W3SVC ?我没有试验。)如果上载的不是DLL而是EXE文件,那么把该目录下的CreateProcessAsUser设为0也可以获得local system权限,这个方法早有人撰文论述。但AccessWrite和AccessExecute的改变都可以在“intenet服务管理器”中看出来,隐蔽性就差了。

IIS配置文件隐患

本文的内容是如何利用IIS本身的一些特性建立后门。当然,这主要是一份供网络管理员和网络安全工作人员参考的“Know Your Enemy”类文档,作者希望这篇文章能够对检查和清除后门有所帮助,而并不鼓...
  • yjt777
  • yjt777
  • 2006年12月03日 17:59
  • 489

windows2003 iis6配置文件和win2008/2012 iis7.5配置文件

转载某大牛。。。。 日国外站的单子  :反正跑着玩 简单看下 先 在线web扫描 https://www.yascanner.com/之后发现存在注入漏洞  asp的站  穿山...
  • h4ck0ne
  • h4ck0ne
  • 2016年01月23日 17:43
  • 840

IIS服务器配置文件路径及相关说明

本文的性质为“编著”。 “图形化网站管理者”请留步。   问题:当主机上的IIS服务由于各种原因无法打开时,无法看到当前系统内已经部署了哪些网站,以及其对应的目录等信息。 为解决这一问题,本文...
  • smartcore
  • smartcore
  • 2017年05月25日 12:51
  • 2326

IIS7.0修改默认文档报“错误:无法写入配置文件”

iis7.0 添加默认文档时候出现以下错误 执行此操作时出错, ……\web.config 错误:无法写入配置文件! 在网上搜索没搜到几个,都说是权限问题,但是我的网站目录所在分区是fa...
  • u012770274
  • u012770274
  • 2014年05月29日 09:49
  • 2828

IIS不能对网站添加默认文档(由于权限不足而无法写入配置文件)

在对网站添加默认文档时提示“”
  • sam_jet
  • sam_jet
  • 2014年08月19日 11:50
  • 8025

IIS系列:二、修改默认站点配置

简介:本文主要介绍如何修改默认站点的默认文档以及如何添加新的虚拟目录和应用程序。 修改默认站点配置: 1、默认网站的配置文件存放在C:\inetpub\wwwroot目录,这里我们新建一个文本文件,写...
  • Lyu_JinBo
  • Lyu_JinBo
  • 2016年01月22日 18:06
  • 3004

IIS配置文件applicationhost.conf

 IIS配置文件applicationhost.conf是服务器级别对iis进行的配置 对iis的修改会反应在这个配置文件上, 但是有时对iis进行了设置,但是在这个配置文件上却找不到对应的...
  • u010476739
  • u010476739
  • 2016年10月13日 09:32
  • 375

IIS配置文件的XML格式不正确 applicationHost.config崩溃 恢复解决办法

当打开IIS管理器,或配置网站时提示错误:配置文件的XML格式不正确 且是applicationHost.config的问题,那么肯定是applicationHost.config被破坏,IIS就崩...
  • lpsswan
  • lpsswan
  • 2015年08月22日 19:00
  • 3356

IIS 配置文件

11
  • sgear
  • sgear
  • 2011年09月28日 15:56
  • 384

IIS Express配置虚拟目录及常用功能配置

本篇文章主要介绍: 通过配置 IIS Express IIS10.0,实现虚拟目录访问站点。 通过配置 IIS Express 实现 一个域名下,访问不同的路径,来对应不同项目,对应不同的路径。 介绍...
  • shuai_wy
  • shuai_wy
  • 2017年04月05日 18:21
  • 3255
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:IIS配置文件隐患
举报原因:
原因补充:

(最多只允许输入30个字)