WEB容器及IIS漏洞简介

web容器

web容器就是一种服务程序，在服务器中一个端口就对应一个提供相应服务的程序（比如Apache默认的端口为80），而这个程序就是处理服务器从客户端收到的请求，如Java中的Tomcat容器，ASP的IIS都是这样的容器。一个服务器可以有多个容器。

常见web容器:
IIS、Apache、Nginx、Tomcat、Jboss、Web Logic

1. 中间件: 提供系统软件和应用软件之间连接的软件，以便于软件各部件之间的沟通。中间件处在操作系统和更高一级应用程序之间。
2. 容器: 给处于其中的应用程序组件(JSP， PHP， ASP) 提供一个环境。使处于其中的应用程序组件直接跟容器中的环境变量接口交互，不必关注其它系统问题。
3. 服务器: www 服务器或http服务器。提供Web信息浏览服务。它只需支持HTTP协议、HTML文档格式及URL。向浏览器提供服务的程序。

IIS

IIS6.0文件解析漏洞

在已经启动的网站下文件夹的名为 .asp、.asa 、.cer的文件夹，其目录内的任何扩展名的文件都被IIS当作asp文件来解析并执行。
而IIS6.0漏洞产生的原因是IIS 6.0 在处理含有特殊符号的文件路径时会出现逻辑错误，从而造成文件解析漏洞。一般配合服务器的文件上传功能使用，以获取服务器的权限。

1. "/"漏洞
   我们创建一个text.asp的文件夹，在文件夹内新建一个1.xx，其内容为phpinfo()；
   我们访问127.0.0.1/text.asp/1.xx
   即可当作asp解析1.xx
2. “;”漏洞
   我们新建一个1.jsp;.jpg，其内容为phpinfo()；
   我们访问127.0.0.1/1.jsp;.jpg
   即可当作asp解析1.jsp;.jpg

IIS7.5文件解析

一看见url里面后缀是.php便直接交由php处理，若php开启了cgi.fix_pathinfo(目录修理)
假如url为127.0.0.1/1.jpg/.php
后缀为.php，则交由php处理。由于开启了目录修复功能，由于目录中没有.php文件，那么php会把路径修改为127.0.0.1/1.jpg，发现有这个文件，php便会解析1.jpg。

IIS短文件漏洞

1. 文件名字符长度超过9位则显示短文件名
2. 只有前六位字符直接显示，后续字符用~1指代。其中数字1还可以递
   增，如果存在多个文件名类似的文件(名称前6位必须相同，且后缀名前3
   位必须相同)
3. 后缀名最长只有3位，多余的被截断

漏洞利用:

1. 在访问某个存在的文件名会返回400
2. 在访问某个不存在的文件名会返回404
   假如根目录下存在aaaaaaaaaaaaa.htm文件
   则访问127.0.0.1/*~1*/a.aspx
   若400，则说明存在短文件名，然后访问
   127.0.0.1/A*~1*/a.aspx
   若400，则说明存在A开头的短文件名，依次下去，则可以爆破出文件或文件名

局限性：

1. 只能猜解前六位，以及扩展名的前3位。
2. 名称较短的文件是没有相应的短文件名的。
3. 需要IIS和.net两个条件都满足

目的：

1. 猜解后台地址
2. 猜解敏感文件，例如备份的rar, zip、 .bak 、.SQL文件等
3. 在某些情形下，甚至可以通过短文件名web直接下载对应的文件。比如下载备份SQL文件

IIS6.0命令执行（CVE-2017-7269）

在开启WebDav时存在此漏洞。
漏洞原理：
在1IS6.0处理PROPFIND指令的时候，由于对url的长度没有进行有效的长度控制和检查，导致执行memcpy对虚拟路径进行构造的时候,引发栈溢出，该漏洞可以导致远程代码执行。
攻击方法：

1. github上开源的exp：
   Github上的一-个开源exp:
   https://github.com/zcgonvh/cve-2017-7269
   将exp中的ip地址改为虚拟机(目标)的IP地址。

2. msfconsole