IIS - Internet Information Services
Test executable file extensions:
asp
aspx
config
php
Ufunuo wa Anwani ya IP ya Ndani
Katika seva yoyote ya IIS ambapo unapata 302 unaweza kujaribu kuondoa kichwa cha Host na kutumia HTTP/1.0 na ndani ya jibu kichwa cha Location kinaweza kukuongoza kwenye anwani ya IP ya ndani:
Majibu yanayofichua IP ya ndani:
Execute .config files
Unaweza kupakia faili za .config na kuzitumia kutekeleza msimbo. Njia moja ya kufanya hivyo ni kuongeza msimbo mwishoni mwa faili ndani ya maoni ya HTML: Download example here
Taarifa zaidi na mbinu za kutumia udhaifu huu here
IIS Discovery Bruteforce
Pakua orodha niliyounda:
Ilianzishwa kwa kuunganisha maudhui ya orodha zifuatazo:
https://raw.githubusercontent.com/danielmiessler/SecLists/master/Discovery/Web-Content/IIS.fuzz.txt http://itdrafts.blogspot.com/2013/02/aspnetclient-folder-enumeration-and.html https://github.com/digination/dirbuster-ng/blob/master/wordlists/vulns/iis.txt https://raw.githubusercontent.com/danielmiessler/SecLists/master/Discovery/Web-Content/SVNDigger/cat/Language/aspx.txt https://raw.githubusercontent.com/danielmiessler/SecLists/master/Discovery/Web-Content/SVNDigger/cat/Language/asp.txt https://raw.githubusercontent.com/xmendez/wfuzz/master/wordlist/vulns/iis.txt
Tumia bila kuongeza kiambatisho chochote, faili zinazohitaji zinao tayari.
Path Traversal
Kuonyesha msimbo wa chanzo
Angalia andiko kamili katika: https://blog.mindedsecurity.com/2018/10/from-path-traversal-to-source-code-in.html
Kwa muhtasari, kuna faili kadhaa za web.config ndani ya folda za programu zikiwa na viungo kwa faili za "assemblyIdentity" na "namespaces". Kwa taarifa hii inawezekana kujua mahali ambapo executable ziko na kuzipakua. Kutoka kwa Dlls zilizopakuliwa pia inawezekana kupata namespaces mpya ambapo unapaswa kujaribu kufikia na kupata faili ya web.config ili kupata namespaces mpya na assemblyIdentity. Pia, faili connectionstrings.config na global.asax zinaweza kuwa na taarifa za kuvutia.\
Katika .Net MVC applications, faili ya web.config ina jukumu muhimu kwa kuainisha kila faili la binary ambalo programu inategemea kupitia lebo za XML za "assemblyIdentity".
Kuchunguza Faili za Binary
Mfano wa kufikia faili ya web.config umeonyeshwa hapa chini:
Hii ombi linaonyesha mipangilio na utegemezi mbalimbali, kama vile:
EntityFramework toleo
AppSettings kwa ajili ya kurasa za wavuti, uthibitishaji wa mteja, na JavaScript
System.web mipangilio ya uthibitishaji na wakati wa utekelezaji
System.webServer mipangilio ya moduli
Runtime uhusiano wa maktaba kwa maktaba nyingi kama Microsoft.Owin, Newtonsoft.Json, na System.Web.Mvc
Mipangilio hii inaonyesha kwamba faili fulani, kama /bin/WebGrease.dll, ziko ndani ya folda ya /bin ya programu.
Faili za Saraka Kuu
Faili zinazopatikana katika saraka kuu, kama /global.asax na /connectionstrings.config (ambayo ina nywila nyeti), ni muhimu kwa usanidi na uendeshaji wa programu.
Namespaces na Web.Config
Programu za MVC pia zinafafanua web.config files za ziada kwa ajili ya namespaces maalum ili kuepuka matamko ya kurudiwa katika kila faili, kama inavyoonyeshwa na ombi la kupakua web.config nyingine:
Kupakua DLLs
Kurejelewa kwa jina la kawaida maalum kunaashiria DLL inayoitwa "WebApplication1" iliyopo katika saraka ya /bin. Kufuatia hii, ombi la kupakua WebApplication1.dll linaonyeshwa:
Hii inamaanisha uwepo wa DLL nyingine muhimu, kama System.Web.Mvc.dll na System.Web.Optimization.dll, katika saraka ya /bin.
Katika hali ambapo DLL inapata namespace inayoitwa WebApplication1.Areas.Minded, mshambuliaji anaweza kudhani uwepo wa faili nyingine za web.config katika njia zinazoweza kutabiriwa, kama /area-name/Views/, zikiwa na mipangilio maalum na marejeleo kwa DLL nyingine katika folda ya /bin. Kwa mfano, ombi kwa /Minded/Views/web.config linaweza kufichua mipangilio na namespaces zinazodhihirisha uwepo wa DLL nyingine, WebApplication1.AdditionalFeatures.dll.
Faili za kawaida
Kutoka hapa
HTTPAPI 2.0 404 Error
Ikiwa unaona kosa kama hili:
Inamaanisha kwamba seva haikupata jina sahihi la kikoa ndani ya kichwa cha Host. Ili kufikia ukurasa wa wavuti unaweza kuangalia Cheti cha SSL kilichotolewa na labda unaweza kupata jina la kikoa/subdomain huko. Ikiwa halipo unaweza kuhitaji brute force VHosts hadi upate sahihi.
Old IIS vulnerabilities worth looking for
Microsoft IIS tilde character “~” Vulnerability/Feature – Short File/Folder Name Disclosure
Unaweza kujaribu kuorodhesha folda na faili ndani ya kila folda iliyogunduliwa (hata kama inahitaji Msingi wa Uthibitishaji) ukitumia hii mbinu. Kikomo kikuu cha mbinu hii ikiwa seva ina udhaifu ni kwamba inaweza tu kupata hadi herufi 6 za kwanza za jina la kila faili/folda na herufi 3 za kwanza za kiendelezi cha faili.
Unaweza kutumia https://github.com/irsdl/IIS-ShortName-Scanner kujaribu udhaifu huu:java -jar iis_shortname_scanner.jar 2 20 http://10.13.38.11/dev/dca66d38fd916317687e1390a420c3fc/db/
Utafiti wa asili: https://soroush.secproject.com/downloadable/microsoft_iis_tilde_character_vulnerability_feature.pdf
Unaweza pia kutumia metasploit: use scanner/http/iis_shortname_scanner
Basic Authentication bypass
Bypass uthibitishaji wa msingi (IIS 7.5) ukijaribu kufikia: /admin:$i30:$INDEX_ALLOCATION/admin.php
au /admin::$INDEX_ALLOCATION/admin.php
Unaweza kujaribu kuchanganya udhaifu huu na wa mwisho ili kupata folda mpya na kuepuka uthibitishaji.
ASP.NET Trace.AXD enabled debugging
ASP.NET inajumuisha hali ya ufuatiliaji na faili yake inaitwa trace.axd
.
Inahifadhi kumbukumbu ya kina ya maombi yote yaliyofanywa kwa programu kwa kipindi cha muda.
Taarifa hii inajumuisha IP za mteja wa mbali, vitambulisho vya kikao, vidakuzi vyote vya maombi na majibu, njia za kimwili, taarifa za msimbo wa chanzo, na labda hata majina ya watumiaji na nywila.
https://www.rapid7.com/db/vulnerabilities/spider-asp-dot-net-trace-axd/
ASPXAUTH Cookie
ASPXAUTH inatumia taarifa zifuatazo:
validationKey
(string): ufunguo wa hex-encoded wa kutumia kwa uthibitishaji wa saini.decryptionMethod
(string): (default “AES”).decryptionIV
(string): hex-encoded initialization vector (inategemea vector ya sifuri).decryptionKey
(string): ufunguo wa hex-encoded wa kutumia kwa ufichuzi.
Hata hivyo, watu wengine watachukua thamani za msingi za vigezo hivi na watatumia kama cookie barua pepe ya mtumiaji. Hivyo, ikiwa unaweza kupata wavuti inayotumia jukwaa sawa ambalo linatumia cookie ya ASPXAUTH na wewe unaunda mtumiaji kwa barua pepe ya mtumiaji unayependa kuiga kwenye seva inayoshambuliwa, unaweza kuwa na uwezo wa kutumia cookie kutoka seva ya pili kwenye ya kwanza na kuiga mtumiaji. Shambulio hili lilifanya kazi katika hii writeup.
IIS Authentication Bypass with cached passwords (CVE-2022-30209)
Ripoti kamili hapa: Kosa katika msimbo halikupitia ipasavyo nenosiri lililotolewa na mtumiaji, hivyo mshambuliaji ambaye hash ya nenosiri lake inagonga ufunguo ambao tayari uko kwenye cache ataweza kuingia kama mtumiaji huyo.
Last updated