IIS - Internet Information Services
Last updated
Last updated
学习与实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习与实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)
测试可执行文件扩展名：
asp
aspx
config
php
在任何 IIS 服务器上，如果你得到一个 302，你可以尝试去掉 Host 头并使用 HTTP/1.0，响应中的 Location 头可能会指向内部 IP 地址：
响应泄露内部IP：
您可以上传 .config 文件并使用它们执行代码。实现此目的的一种方法是在文件末尾的 HTML 注释中附加代码：在此下载示例
有关利用此漏洞的更多信息和技术 请点击这里
下载我创建的列表：
它是通过合并以下列表的内容创建的：
https://raw.githubusercontent.com/danielmiessler/SecLists/master/Discovery/Web-Content/IIS.fuzz.txt http://itdrafts.blogspot.com/2013/02/aspnetclient-folder-enumeration-and.html https://github.com/digination/dirbuster-ng/blob/master/wordlists/vulns/iis.txt https://raw.githubusercontent.com/danielmiessler/SecLists/master/Discovery/Web-Content/SVNDigger/cat/Language/aspx.txt https://raw.githubusercontent.com/danielmiessler/SecLists/master/Discovery/Web-Content/SVNDigger/cat/Language/asp.txt https://raw.githubusercontent.com/xmendez/wfuzz/master/wordlist/vulns/iis.txt
使用时无需添加任何扩展名，所需的文件已经包含。
查看完整的写作内容： https://blog.mindedsecurity.com/2018/10/from-path-traversal-to-source-code-in.html
总结来说，应用程序的文件夹中有多个 web.config 文件，里面引用了 "assemblyIdentity" 文件和 "namespaces"。通过这些信息，可以知道 可执行文件的位置 并下载它们。 从 下载的 Dlls 中，还可以找到 新的 namespaces，您应该尝试访问并获取 web.config 文件，以便找到新的 namespaces 和 assemblyIdentity。 此外，文件 connectionstrings.config 和 global.asax 可能包含有趣的信息。\
在 .Net MVC 应用程序 中，web.config 文件通过 "assemblyIdentity" XML 标签指定应用程序所依赖的每个二进制文件，起着至关重要的作用。
访问 web.config 文件的示例如下：
此请求揭示了各种设置和依赖关系，例如：
EntityFramework 版本
AppSettings 用于网页、客户端验证和JavaScript
System.web 认证和运行时的配置
System.webServer 模块设置
Runtime 程序集绑定，适用于多个库，如 Microsoft.Owin、Newtonsoft.Json 和 System.Web.Mvc
这些设置表明某些文件，例如 /bin/WebGrease.dll，位于应用程序的 /bin 文件夹内。
在根目录中找到的文件，如 /global.asax 和 /connectionstrings.config（包含敏感密码），对于应用程序的配置和操作至关重要。
MVC 应用程序还为特定命名空间定义了额外的 web.config 文件，以避免在每个文件中重复声明，如通过请求下载另一个 web.config 所示：
提到自定义命名空间暗示在 /bin 目录中存在一个名为 "WebApplication1" 的 DLL。接下来，显示了下载 WebApplication1.dll 的请求：
这表明在 /bin 目录中存在其他重要的 DLL，例如 System.Web.Mvc.dll 和 System.Web.Optimization.dll。
在一个 DLL 导入名为 WebApplication1.Areas.Minded 的命名空间的场景中，攻击者可能推断出在可预测路径中存在其他 web.config 文件，例如 /area-name/Views/，其中包含特定的配置和对 /bin 文件夹中其他 DLL 的引用。例如，对 /Minded/Views/web.config 的请求可以揭示配置和命名空间，表明存在另一个 DLL WebApplication1.AdditionalFeatures.dll。
来自 这里
如果您看到如下错误：
这意味着服务器没有在 Host 头中接收到正确的域名。 为了访问网页，您可以查看提供的SSL 证书，也许可以在其中找到域名/子域名。如果没有，您可能需要暴力破解 VHosts，直到找到正确的。
您可以尝试使用此技术来枚举每个发现的文件夹和文件（即使它需要基本身份验证）。 如果服务器存在漏洞，此技术的主要限制是它只能找到每个文件/文件夹名称的前 6 个字母和文件扩展名的前 3 个字母。
您可以使用 https://github.com/irsdl/IIS-ShortName-Scanner 来测试此漏洞：java -jar iis_shortname_scanner.jar 2 20 http://10.13.38.11/dev/dca66d38fd916317687e1390a420c3fc/db/
原始研究：https://soroush.secproject.com/downloadable/microsoft_iis_tilde_character_vulnerability_feature.pdf
您还可以使用metasploit：use scanner/http/iis_shortname_scanner
一个不错的主意是找到发现文件的最终名称，可以询问 LLMs 以获取选项，就像在脚本 https://github.com/Invicti-Security/brainstorm/blob/main/fuzzer_shortname.py 中所做的那样。
绕过基本身份验证（IIS 7.5），尝试访问：/admin:$i30:$INDEX_ALLOCATION/admin.php 或 /admin::$INDEX_ALLOCATION/admin.php
您可以尝试将此漏洞与最后一个结合，以发现新的文件夹并绕过身份验证。
ASP.NET 包含调试模式，其文件名为 trace.axd。
它保持对在一段时间内对应用程序发出的所有请求的详细日志。
此信息包括远程客户端 IP、会话 ID、所有请求和响应 cookie、物理路径、源代码信息，甚至可能包括用户名和密码。
https://www.rapid7.com/db/vulnerabilities/spider-asp-dot-net-trace-axd/
ASPXAUTH 使用以下信息：
validationKey（字符串）：用于签名验证的十六进制编码密钥。
decryptionMethod（字符串）：（默认“AES”）。
decryptionIV（字符串）：十六进制编码的初始化向量（默认为零向量）。
decryptionKey（字符串）：用于解密的十六进制编码密钥。
然而，有些人会使用这些参数的默认值，并将用户的电子邮件用作cookie。因此，如果您能找到一个使用 ASPXAUTH cookie 的相同平台的网页，并且您在被攻击的服务器上创建一个与您想要冒充的用户相同的电子邮件的用户，您可能能够在第一个服务器中使用第二个服务器的 cookie并冒充该用户。 这个攻击在这篇写作中有效。
完整报告在这里：代码中的一个错误没有正确检查用户提供的密码，因此一个密码哈希命中已经在缓存中的密钥的攻击者将能够以该用户身份登录。
学习与实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习与实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)
