iis短文件名漏洞

最新推荐文章于 2024-07-17 14:29:00 发布
最新推荐文章于 2024-07-17 14:29:00 发布
阅读量836 收藏
点赞数
分类专栏： other
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u013595395/article/details/115859380
版权

一、解决方法

禁用短文件名创建

https://docs.microsoft.com/zh-CN/troubleshoot/windows-server/performance/stop-error-code-0x00000019

（1）改注册表

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem\NtfsDisable8dot3NameCreation

值修改为1

-- 禁用后，原先的短文件名没有被删除

 

（2）假设有问题的文件夹为：/www/iis

1.复制一份文件夹，得：/www/iis - 副本

2.删除原先的文件夹（/www/iis）

3.将复制后的文件夹改名回去（/www/iis - 副本    ->    /www/iis）

 

 

二、检测问题还在不在

https://blog.csdn.net/alex_seo/article/details/84398798

下载检测工具：https://github.com/irsdl/iis-shortname-scanner/

-- 蓝奏云 https://wwe.lanzous.com/ivFSxo9nuvc

运行run.bat

输入被检测的网站

选项全部回车（即使用默认值）

混乱谜零
关注
专栏目录
iis 短文件名泄露 验证工具
06-25
iis 的短文件名泄露，可以用这个工具校验， python 和JAVA版的都有
IIS短文件名漏洞利用工具
07-31
本工具可以测试IIS对应的URL是否存在漏洞，若存在漏洞，则猜解文件夹下所有的短文件名：包括文件和文件名。
IIS短文件名称POC检测
最新发布
yh
07-17 248
执行此文件 python [命名].py -u http://baidu.com。结果根据不同接口请求类型，返回值响应200或者404即存在漏洞。安装python环境。
iis短文件名可以猜测几位字符_Python渗透漏洞工具，有需要可以看看
weixin_39906192的博客
11-27 188
看到公众号好的文章，分享给大家，来自 黑白之道PYTHON小工具集(渗透测试工具集)beian.py 备案查询小工具 beian.py baidu.combaiducrawler.py 百度关键字爬取小工具 baiducrawler.py 大黑客scanTitle.py 批量获取域名标题 scanTitle.py urls.txt 10 (线程)bingC.py 用bing搜索的ip指令进行ip到...
IIS短文件猜解
浅笑996的博客
11-18 3034
1.IIS短文件漏洞 Microsoft IIS 短文件/文件夹名称信息泄漏最开始由Vulnerability Research Team（漏洞研究团队）的Soroush Dalili在2010年8月1日发现，并于2010年8月3日通知供应商（微软公司）。微软公司分别于2010年12月1日和2011年1月4日给予答复下个版本修复。2012年6月29日，此漏洞公开披露（中危）。 此漏洞实际是由HTT...
IIS短文件名泄漏漏洞利用工具下载
03-05
可利用IIS中间键.NET漏洞猜解网站目录或短文件名，好不好用试了才知道
IIS短文件名漏洞利用工具.zip
05-12
标题中的"IIS短文件名漏洞利用工具"指向的是一个针对微软Internet Information Services（IIS）服务器的安全漏洞。IIS是Windows操作系统中广泛使用的Web服务器，它处理HTTP、HTTPS和其他网络协议，为用户提供网页...
探索微软IIS短文件名漏洞：IIS Short Name Scanner
gitblog_00067的博客
05-14 646
探索微软IIS短文件名漏洞：IIS Short Name Scanner 项目地址:https://gitcode.com/irsdl/IIS-ShortName-Scanner IIS Short Name Scanner是一款经典的开源工具，自2012年以来，它一直在帮助安全研究人员和系统管理员检测Microsoft Internet Information Services（IIS）的8....
IIS短文件名暴力枚举漏洞利用工具(IIS shortname Scanner)
热门推荐
专注企业信息安全－sec
11-23 1万+
上文我已经介绍了IIS短文件名暴力枚举漏洞的成因和利用。 这里只是发出昨天写的脚本。 脚本可以测试对应的URL是否存在漏洞，若存在漏洞，则猜解文件夹下所有的短文件名：包括文件和文件名。 网上早前已经有公开的工具了：https://code.google.com/p/iis-shortname-scanner-poc/ 我没有参考他的代码。自己用python实现了一个漏洞利用脚本。简单测试，...
IIS6利用URLScan修复IIS短文件名漏洞
aa781398079的博客
07-24 438
一、下载URLScan 3.1 链接: http://pan.baidu.com/s/1i4HfKrj 密码: dmud 二、安装URLScan 3.1 安装完成以后，我们可以在System32/InetSvr/URLScan目录下找到以下文件： log：日志目录，开启日志记录功能，会在此目录下生成日志文件； urlscan.dll：动态连接库文件； urlscan.ini：...
网络安全-IIS短文件名枚举漏洞
lc545205的博客
04-03 2423
IIS-ShortName-Scanner下载链接： 提取码：5lcqpython版本的需要安装python27环境： 提取码：h2orjava版本的需要安装jdk环境： 提取码：jl58。
IIS短文件名扫描工具
weixin_34246551的博客
05-08 1151
#!/usr/bin/env python # -*- coding: utf-8 -*- import sys import httplib import urlparse import string import threading import Queue import time import string     class Scanner():     de...
IIS-ShortName-Scanner使用
qq_50854662的博客
10-10 2294
0×00 漏洞简介 Microsoft IIS在实现上存在文件枚举漏洞，攻击者可利用此漏洞枚举网络服务器根目录中的文件。 危害：攻击者可以利用“~”字符猜解或遍历服务器中的文件名，或对IIS服务器中的.Net Framework进行拒绝服务攻击。 0×01 工具简介 Java环境下一款利用短文件名漏洞进行文件探测的扫描器 0×02 工具获取 工具链接：https://pan.baidu.com/s/1_VNy3UWuMljumyYci9ik5g 密码：3emm（版本v2.3..
Microsoft IIS短文件名漏洞验证测试
afei001
12-23 1663
目录 1.前言 2.漏洞原理 3.Microsoft IIS扫描器 4.漏洞验证 5.漏洞修复 1.前言 今天使用AWVS对目标网站进行漏扫时，发现了Microsoft IIS tilde directory enumeration漏洞，即常说的Microsoft IIS短文件名漏洞。 afei 短文件漏洞请参考笔记：短文件名漏洞介绍及利用 漏洞等级： 获取非敏感信息文件：中危； 可获取敏感信息(账号密码、数据库...)：高危。 ...
探索IIS服务器的短文件名利器 —— Shortscan
gitblog_00096的博客
05-24 614
探索IIS服务器的短文件名利器 —— Shortscan 项目地址:https://gitcode.com/bitquark/shortscan 项目介绍 在网络安全的世界中，Shortscan是一款专门针对IIS（Internet Information Services）网络服务器设计的短文件名枚举工具。它能够快速识别出存在服务器上的短文件名，并尝试自动确定这些文件的完整名称。特别值得一提的是...
iis短文件名漏洞复现
08-23
IIS短文件名漏洞，也称为8.3短文件名漏洞，是指在IIS（Internet Information Services）Web服务器上存在的一个安全漏洞。该漏洞允许攻击者通过构造特定的URL请求来访问Web服务器上本不公开的文件和目录。 要复现IIS短文件名漏洞，可以按照以下步骤进行： 1. 首先，确保你有一个运行IIS的Web服务器，并且可以进行配置和测试。 2. 设置IIS服务器，使其启用短文件名。可以通过修改IIS配置文件或使用命令行工具进行设置。 3. 创建一个包含敏感信息的文件，例如“secret.txt”，并将其放置在不公开访问的目录下，如“C:\inetpub\wwwroot\secret”。 4. 使用不带扩展名的文件名创建一个符号链接（Symlink），指向要访问的目标文件。例如，可以使用命令“mklink secret.lnk C:\inetpub\wwwroot\secret.txt”。 5. 访问IIS服务器上的网页，并构造一个特定的URL请求来访问该文件。例如，“http://localhost/secret.lnk”。 6. 如果IIS服务器启用了短文件名，并且漏洞存在，那么访问该URL后，应该能够直接显示或下载“secret.txt”文件，即使该文件被放置在不公开访问的目录下。 复现IIS短文件名漏洞的过程可以帮助管理员更好地理解漏洞的存在和影响，并采取相应的措施来修复该漏洞。修复方法包括禁用IIS短文件名功能、更新IIS服务器补丁、限制目录访问权限等，以增强服务器的安全性。同时，定期更新和管理服务器的安全措施也是非常重要的。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值