IIS漏洞大全（附修复方法）

IIS6.0

      IlS Server 在 Web 服务扩展中开启了 WebDAV，配置了可以写入的权限，造成任意文件上传。

漏洞复现

fofa:"llS-6.0"  or
本地搭建2003 server
1)开启 WebDAV 和写权限:

做好准备工作后开启环境，然后我们去访问配置的IP，访问到如下页面

然后开启抓包刷新页面，在抓到的数据包后将其发送到重放器，将请求方式改为OPTIONS后点击发送，在返回包中就可以看到可以使用的请求方式

这里可以直接用PUT方式上传文件，但是不能上传脚本文件，所以为了上传脚本，我们可以先上传一个普通的1.txt文件，然后利用move方式将其改名为脚本文件的格式

其中PUT /后面跟上我们要上传的文件名，然后在最后一行写上我们要上传的文件的内容，将多余的请求数据都删除，只留下请求头，host以及长度和内容，然后点击发送，出现201则上传成功

我们回到靶机中刷新查看也发现上传成功

然后将请求方式改为MOVE后，将数据包改为如下内容后再次点击上传，shell.asp是想改为的名字

MOVE /2.txt HTTP/1.1
Host: 192.168.159.131
Destination: http://192.168.159.131/shell.asp

我们到靶机中查看，成功上传

漏洞修复

1.关闭webdav ；

2.关闭写⼊权限 。

IIS6.0解析漏洞

 在iis6.x版本中存在可以将任意文件当作asp文件解析的漏洞，我们在网站目录下创建一个名为1.asp的文件夹，则在其中的任何文件都会当作asp文件去运行，如下

先在默认网站中右键，点击打开

然后在这里创建一个1.asp的文件夹，再创建一个内容为<%=now()%>（这个函数为查看当前时间）的txt文件，将1.txt放入1.asp中，然后用物理机去访问，即可得到当前时间

用ipconfig查看虚拟机IP后去物理机访问192.168.209.133/1.asp/1.txt

二.IIS6.x（2）

      当我们在网站目录下创建一个名为1.asp.;.jpg的文件，内容同样为<%=now()%>，当我们去访问时，也会得到当前时间，这证明该文件虽然后缀名为jpg，但是他也会被当作asp文件运行。

IIS短⽂件漏洞

Windows 以 8.3 格式⽣成与 MS-DOS 兼容的（短）⽂件名，以允许基于 MS-DOS 或 16

位 Windows的程序访问这些⽂件。在cmd下输⼊" dir /x "即可看到短⽂件名的效果。

原理

当后缀⼩于4时，短⽂件名产⽣需要⽂件(夹)名前缀字符⻓度⼤于等于9位。

当后缀⼤于等于4时，⽂件名前缀字符⻓度即使为1，也会产⽣短⽂件名。

⽬前IIS⽀持短⽂件名猜测的HTTP⽅法主要包括：DEBUG、OPTIONS、GET、POST、HEAD、

TRACE六种； IIS 8.0之后的版本只能通过OPTIONS和TRACE⽅法被猜测成功。

漏洞复现

IIS8.0以下版本需要开启ASP.NET⽀持，IIS>=8.0版本，即使没有安装ASP.NET，通过OPTIONS和TRACE⽅法也可以猜解成功。以下通过开启IIS6.0 ASP.NET后进⾏复现。

在这里，我们可以看到有短文件

短⽂件名特征：

1. 只显示前6位的字符，后续字符⽤~1代替。其中数字1是可以递增。如果存在⽂件名类似的⽂

件，则前⾯的 6个字符是相同的，后⾯的数字进⾏递增。

2. 后缀名最⻓只有3位，超过3位的会⽣成短⽂件名，且后缀多余的部分会截断。