友声网

 找回密码
 立即注册
搜索
开启左侧

[安全] 用Kangle的请求控制,解决“IIS解析漏洞”

[复制链接]
卡卡北 发表于 2018-12-27 21:49 | 显示全部楼层 |阅读模式
在老版本IIS下有两个漏洞,微软一直没有给出补丁。

漏洞1:
    在网站下建立名字为 *.asp、*.asa 的文件夹,其目录内的任何扩展名的文件都将被 IIS 当作 asp 文件来解析并执行。
    例如:创建目录 vidun.asp,那么 /vidun.asp/1.jpg 将被当作 asp 文件来执行。

    可以作一个测试
    在网站下创建一个目录“vidun.asp”,并在目录下创建一个名为“1.jpg”的文件(假设是用户作为头像上传上来的), 用记事本打开“1.jpg”文件,输入:
  1. Now is: <%=Now()%>
复制代码

如图所示,如果其中的 asp 脚本能被执行,那么:漏洞存在。


在浏览器处输入地址,执行效果如下:

  
漏洞2:
    网站上传图片的时候,将网页木马文件的名字改成“*.asp;.jpg”,也同样会被 IIS 当作 asp 文件来解析并执行。
    例如:上传一个图片文件,名字为“vidun.asp;.jpg”的木马文件,该文件可以被当作 asp 文件解析并执行。

   同样,我们来做一个测试
   在网站目录下创建文件“vidun.asp;.jpg”,代码内容与上面 1.jpg 相同,打开浏览器,输入地址,执行效果如下 :


   这两个漏洞实在太可怕了,足以让每一个站长望而崩溃,更让站长崩溃的是微软至今没有发布补丁!
 
    如何避免“IIS解析漏洞”?
   在写这篇文章的时候,微软依然没有发布任何补丁。这个漏洞已经使得无数网站遭受攻击。

    程序开发者应该如何避免该漏洞被利用?
    1,必须在写程序的时候特别注意,上传图片后一定要用随机的数字或英文来重命名。文件名中最好不要含有其他字符,更不能让用户定义图片文件的名字。
    2,对于网盘系统来说,如果支持目录创建并允许用户自定义目录名,且在真实的物理磁盘上创建了这个目录的话,必须注意:目录名必须要严格检查,最好是只允许输入英文和数字。但最好是用数据库记录文件夹的层次结构,不要让用户知道真实的磁盘地址对应。

    除了上面避免“IIS解析漏洞”被利用的方法,有没有彻底解决办法?
    答案:有。
    kangle可以非常简单、方便地为您提供终极解决方案。
    无需等待程序开发者的修补,也不指望微软发布补丁。非常简单的“二步”操作即可修补此严重漏洞。

具体操作步骤(二步):
1 .安装完成kangle web服务器后,登录kangle管理后台。进入请求控制,点击“插入”按钮。如下图:
  

2. 选择“匹配模块”中的“reg_path”,并输入:
  1. \.((asp)|(asa))[;/]
复制代码

目标:选择“拒绝”
如图:

  
点击“提交”,操作完成。

严重的“IIS解析漏洞”,就是这样被kangle轻松解决。

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?立即注册

x
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

手机版|小黑屋|RSS|联系|友声网 ( 鲁ICP备15020090号 ) 知道创宇云安全

GMT+8, 2019-8-18 08:51 , Processed in 0.111328 second(s), 18 queries , MemCache On.

Powered by Discuz! X

©2019 Comsenz Inc.

快速回复 返回顶部 返回列表