小灰博客--小灰IT技术博客 | sky00.com

如何利用IIS解析漏洞上传图片木马

简单的叙述一下IIS解析漏洞给网站带来的隐患,利用上传图片的方式就可以拿下你的目录!

第一种:在网站目录下建立任何 *.asp或者*.php 文件夹(也就是 aa.asp或者shell.php之类,有的可能PHP不支持,下面也是)文件夹,其目录下的所有文件都会被当做asp或者php脚本文件去执行,也就是说:它目录下的abc.jpg 都会被当做脚本文件去解析。
这样就非常可怕了。当用户用记事本把 11.jpg 打开,然后里面写入ASP的木马程序,那就可以顺理成章的去执行 abc.jpg 了。也就是在地址栏输入:http://www.sky00.com/aa.asp/abc.jpg 就可以被当做 asp 去执行。
其实一般而言这种漏洞在普通网站中并不常见,因为很多应用中,用户没有自己创建目录的权限(当然这是需要相当大的权限的)。

第二种:就是利用上传漏洞。老版本的 fckeditor,以及其他编辑器、上传组件基本都存在的漏洞(准确的说判断这个漏洞不应该交给他们去处理,他们只负责了上传,有的fck上传上去会给文件名字加下划线,这样你重新上传原来的东西就不会有下划线了,有下划线不执行!)
比如:将一个asp木马的后缀改为:leo.asp;.jpg 这样的。在IIS下,这样的东西也会被当做asp程序去执行。因为他不会识别分号后面的东西,也就是不会执行分后后面的.jpg,自然而然就成了leo.asp!
用户通过编辑器、其他上传文件的程序,上传一个文件名为:leo.asp;.jpg 的文件,然后就可以通过URL去访问:http://www.sky00.com/上传目录/muma.asp;.jpg 去直接执行木马程序!至于上传目录你可以抓包看或者审查代码看等..

解决办法:
1、普通程序禁止用户创建目录,或者严格判断目录的格式,只能为数字或者英文字符。
2、对上传的文件进行重命名,比如用户上传了一个 leo.asp;.jpg 的文件,重命名之后会得到 201400202029.jpg 的文件。


如果该文章帮到了您,不妨帮忙分享支持下博主!
同时也欢迎各位技术爱好者加入IT技术群(点击即可):70035098 互相交流学习!

分享该文章到:

5 条评论

  1. 恒泽堂说道:

    受教了!

  2. IT疯狂女说道:

    图片木马,好强额,看到都神奇。



发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

分类

最新评论

  • + 0.75788585 BTC.GET - https://telegra.ph/Get-BTC-right-now-01-22?hs=9e710a17c6f1893b8975843ad65a53ec&:80ymq4
  • You have a email № 897905. Read >>> https://telegra.ph/Get-BTC-right-now-01-22?hs=7fc809c4247ff3bb3e2b81fd7b90d625&:whaht3
  • You have received a message # 76978. Go >>> https://telegra.ph/Get-BTC-right-now-01-22?hs=3da051666d269a0bc63a99730221a24b&:pt6kzb
  • You got a transfer from user. Get => https://telegra.ph/Get-BTC-right-now-01-22?hs=3f08de96112b4bab631df916e9c95f9e&:zi27wf
  • You have received a notification № 252423. Read >>> https://telegra.ph/Get-BTC-right-now-01-22?hs=8b618b6f3e2558ea545b01f25c66ea45&:z91sjl
  • We send a transfer from unknown user. Continue >> https://telegra.ph/Get-BTC-right-now-01-22?hs=e4c49dd9cb5ed33f97a29bc92a741521&:iiaw99
  • You have a transaction from unknown user. GЕТ => https://telegra.ph/Ticket--6974-01-15?hs=9e710a17c6f1893b8975843ad65a53ec&:409z2a
  • Ticket: TRANSFER 0,75924235 BTC. Next => https://telegra.ph/Ticket--6974-01-15?hs=8f87d0d2843e103c87c4bd683c9bda39&:mqjjeh
  • Email- Transaction #WX47. ASSURE > https://telegra.ph/Ticket--6974-01-15?hs=48af46897a78ce23e02d3d6d91453c82&:30gz1l
  • You have 1 email № 583291. Open >> https://telegra.ph/Ticket--6974-01-15?hs=46cca2220f62b645c465c3659609f169&:hudwy0
  • Notification; TRANSACTION 0.75415746 BTC. Assure >> https://telegra.ph/Ticket--6974-01-15?hs=e8e513973712a3c92cfc5061bded6465&:6zm4xv
  • Notification: TRANSACTION 0,75847329 bitcoin. Next => https://telegra.ph/Ticket--6974-01-15?hs=78ee8b109ef1383fa4708aeb263ae5fb&:rx6muv
  • We send a gift from us. Receive > https://telegra.ph/Message--2868-12-25?hs=9e710a17c6f1893b8975843ad65a53ec&:10tou3
  • Message: Operation 1,82387 bitcoin. Continue >>> https://telegra.ph/Message--2868-12-25?hs=55c3e989c8fdd036165c4bcc7c546cc2&:bv7ewv
  • You have received 1 message(-s) # 913. Go >> https://telegra.ph/Message--2868-12-25?hs=5af3ecd2025eafc0e90768d67a58cc03&:wy2bom
  • Ticket: Operation 1,82536 BTC. Assure >>> https://telegra.ph/Message--2868-12-25?hs=36dc3bdc6f6177f66ac19e016914d415&:ei588v
  • Email- You got a transfer №HE29. NEXT >> https://telegra.ph/Message--2868-12-25?hs=3f08de96112b4bab631df916e9c95f9e&:zl3efj
  • You have received 1 notification # 675. Open > https://telegra.ph/Message--2868-12-25?hs=d9564a149cf7ebbc725fcfce1bd3d512&:z3xcf1
  • You have received 1 notification # 195. Read - https://telegra.ph/Message--2868-12-25?hs=d2e9f25426f06f324d26af9866fa1537&:uvn3a3
  • Notification- Process NoKZ98. NEXT >> https://telegra.ph/Message--2868-12-25?hs=20abb68ac955ac5538a5ae131902e2a0&:32ucvg