IIS - Internet Information Services
WhiteIntel é um mecanismo de busca alimentado pela dark web que oferece funcionalidades gratuitas para verificar se uma empresa ou seus clientes foram comprometidos por malwares stealers.
O principal objetivo do WhiteIntel é combater a apropriação de contas e ataques de ransomware resultantes de malwares que roubam informações.
Você pode verificar o site deles e experimentar o mecanismo deles gratuitamente em:
Testar extensões de arquivos executáveis:
asp
aspx
config
php
Divulgação de Endereço IP Interno
Em qualquer servidor IIS onde você receber um 302, você pode tentar remover o cabeçalho Host e usar HTTP/1.0 e dentro da resposta o cabeçalho Location pode apontar para o endereço IP interno:
Resposta revelando o IP interno:
Executar arquivos .config
Você pode fazer upload de arquivos .config e usá-los para executar código. Uma maneira de fazer isso é anexar o código ao final do arquivo dentro de um comentário HTML: Baixe o exemplo aqui
Mais informações e técnicas para explorar essa vulnerabilidade aqui
Bruteforce de Descoberta IIS
Baixe a lista que criei:
Ela foi criada mesclando o conteúdo das seguintes listas:
https://raw.githubusercontent.com/danielmiessler/SecLists/master/Discovery/Web-Content/IIS.fuzz.txt http://itdrafts.blogspot.com/2013/02/aspnetclient-folder-enumeration-and.html https://github.com/digination/dirbuster-ng/blob/master/wordlists/vulns/iis.txt https://raw.githubusercontent.com/danielmiessler/SecLists/master/Discovery/Web-Content/SVNDigger/cat/Language/aspx.txt https://raw.githubusercontent.com/danielmiessler/SecLists/master/Discovery/Web-Content/SVNDigger/cat/Language/asp.txt https://raw.githubusercontent.com/xmendez/wfuzz/master/wordlist/vulns/iis.txt
Use sem adicionar nenhuma extensão, os arquivos que precisam dela já a possuem.
Traversal de Caminho
Vazamento de código fonte
Confira o artigo completo em: https://blog.mindedsecurity.com/2018/10/from-path-traversal-to-source-code-in.html
Em resumo, existem vários arquivos web.config dentro das pastas da aplicação com referências a arquivos "assemblyIdentity" e "namespaces". Com essas informações, é possível saber onde estão localizados os executáveis e baixá-los. A partir dos Dlls baixados, também é possível encontrar novos namespaces onde você deve tentar acessar e obter o arquivo web.config para encontrar novos namespaces e assemblyIdentity. Além disso, os arquivos connectionstrings.config e global.asax podem conter informações interessantes.\
Nas aplicações .Net MVC, o arquivo web.config desempenha um papel crucial ao especificar cada arquivo binário de que a aplicação depende por meio de tags XML "assemblyIdentity".
Explorando Arquivos Binários
Um exemplo de acesso ao arquivo web.config é mostrado abaixo:
Este pedido revela várias configurações e dependências, tais como:
Versão do EntityFramework
AppSettings para páginas da web, validação de cliente e JavaScript
Configurações do System.web para autenticação e tempo de execução
Configurações de módulos do System.webServer
Associações de assemblies do Runtime para várias bibliotecas como Microsoft.Owin, Newtonsoft.Json e System.Web.Mvc
Essas configurações indicam que certos arquivos, como /bin/WebGrease.dll, estão localizados dentro da pasta /bin da aplicação.
Arquivos do Diretório Raiz
Arquivos encontrados no diretório raiz, como /global.asax e /connectionstrings.config (que contém senhas sensíveis), são essenciais para a configuração e operação da aplicação.
Namespaces e Web.Config
Aplicações MVC também definem arquivos web.config adicionais para namespaces específicos para evitar declarações repetitivas em cada arquivo, como demonstrado em um pedido para baixar outro web.config:
Baixando DLLs
A menção de um namespace personalizado sugere a existência de um DLL chamado "WebApplication1" presente no diretório /bin. Em seguida, é mostrada uma solicitação para baixar o WebApplication1.dll:
Isso sugere a presença de outros DLLs essenciais, como System.Web.Mvc.dll e System.Web.Optimization.dll, no diretório /bin.
Em um cenário onde um DLL importa um namespace chamado WebApplication1.Areas.Minded, um atacante pode inferir a existência de outros arquivos web.config em caminhos previsíveis, como /nome-da-área/Views/, contendo configurações específicas e referências a outros DLLs na pasta /bin. Por exemplo, uma solicitação para /Minded/Views/web.config pode revelar configurações e namespaces que indicam a presença de outro DLL, WebApplication1.AdditionalFeatures.dll.
Arquivos comuns
De aqui
Erro 404 HTTPAPI 2.0
Se você encontrar um erro como o seguinte:
Isso significa que o servidor não recebeu o nome de domínio correto no cabeçalho Host. Para acessar a página da web, você pode verificar o Certificado SSL fornecido e talvez encontrar o nome do domínio/subdomínio lá. Se não estiver lá, você pode precisar forçar VHosts até encontrar o correto.
Vulnerabilidades antigas do IIS que valem a pena procurar
Vulnerabilidade/Recurso do caractere til “~” do Microsoft IIS - Divulgação de Nome Curto de Arquivo/Pasta
Você pode tentar enumerar pastas e arquivos dentro de cada pasta descoberta (mesmo que esteja exigindo Autenticação Básica) usando essa técnica. A principal limitação dessa técnica, se o servidor for vulnerável, é que só pode encontrar até as primeiras 6 letras do nome de cada arquivo/pasta e as primeiras 3 letras da extensão dos arquivos.
Você pode usar https://github.com/irsdl/IIS-ShortName-Scanner para testar essa vulnerabilidade:java -jar iis_shortname_scanner.jar 2 20 http://10.13.38.11/dev/dca66d38fd916317687e1390a420c3fc/db/
Pesquisa original: https://soroush.secproject.com/downloadable/microsoft_iis_tilde_character_vulnerability_feature.pdf
Você também pode usar o metasploit: use scanner/http/iis_shortname_scanner
Bypass de Autenticação Básica
Burlar uma autenticação básica (IIS 7.5) tentando acessar: /admin:$i30:$INDEX_ALLOCATION/admin.php ou /admin::$INDEX_ALLOCATION/admin.php
Você pode tentar combinar essa vulnerabilidade com a anterior para encontrar novas pastas e burlar a autenticação.
Depuração habilitada Trace.AXD do ASP.NET
O ASP.NET inclui um modo de depuração e seu arquivo é chamado trace.axd.
Ele mantém um log muito detalhado de todas as solicitações feitas a uma aplicação ao longo do tempo.
Essas informações incluem IPs de clientes remotos, IDs de sessão, todos os cookies de solicitação e resposta, caminhos físicos, informações de código-fonte e potencialmente até nomes de usuário e senhas.
https://www.rapid7.com/db/vulnerabilities/spider-asp-dot-net-trace-axd/
Cookie ASPXAUTH
ASPXAUTH usa as seguintes informações:
validationKey(string): chave codificada em hexadecimal para uso na validação da assinatura.decryptionMethod(string): (padrão “AES”).decryptionIV(string): vetor de inicialização codificado em hexadecimal (padrão para um vetor de zeros).decryptionKey(string): chave codificada em hexadecimal para uso na descriptografia.
No entanto, algumas pessoas usarão os valores padrão desses parâmetros e usarão como cookie o e-mail do usuário. Portanto, se você encontrar um site usando a mesma plataforma que está usando o cookie ASPXAUTH e criar um usuário com o e-mail do usuário que deseja se passar no servidor sob ataque, você pode ser capaz de usar o cookie do segundo servidor no primeiro e se passar pelo usuário. Este ataque funcionou neste relato.
Bypass de Autenticação do IIS com senhas em cache (CVE-2022-30209)
Relatório completo aqui: Um bug no código não verificava corretamente a senha fornecida pelo usuário, então um atacante cujo hash da senha atinge uma chave que já está no cache poderá fazer login como esse usuário.
WhiteIntel é um mecanismo de busca alimentado pela dark web que oferece funcionalidades gratuitas para verificar se uma empresa ou seus clientes foram comprometidos por malwares stealers.
O principal objetivo do WhiteIntel é combater tomadas de conta e ataques de ransomware resultantes de malwares que roubam informações.
Você pode acessar o site deles e experimentar o mecanismo gratuitamente em:
Last updated
