每日漏洞系列（九）：IIS（Internet Information Services）解析漏洞

大家好！今天我们要讨论一个同样"技术含量"十足的话题------IIS解析漏洞。可能你听说过一些Web服务器漏洞，比如Apache或Nginx的漏洞。那么IIS解析漏洞又是什么呢？它对我们的Web安全有何影响？让我们一探究竟。

一、IIS基础知识

在讨论IIS解析漏洞之前，我们需要先了解IIS是什么以及它是如何工作的。

IIS，全称Internet Information Services，是微软开发的一款Web服务器软件。它的主要作用是托管网站和Web应用程序，使这些网站和应用程序能够通过互联网或局域网访问。IIS运行在Windows操作系统上，主要用于以下几个方面：

• 托管静态网站：例如HTML页面、图片和视频文件。
• 托管动态Web应用程序：例如ASP.NET、PHP、CGI脚本等。
• 提供FTP服务：用于文件上传和下载。
• 提供安全功能：如SSL/TLS加密和用户身份验证。
• 日志记录和监控：记录访问日志和系统状态，便于分析和故障排查。

IIS的核心功能：托管网站和Web应用程序

托管网站和Web应用程序是IIS的核心功能。托管的意思是IIS负责接收和处理来自客户端（如浏览器）的请求，并将请求分发给适当的应用程序或处理程序，然后返回结果给客户端。虽然最终的业务逻辑由Web应用程序（如ASP.NET、PHP等）处理，但IIS充当了一个中介角色，负责管理和分发请求。

托管静态网站

1. 配置站点：在IIS管理控制台中，你可以添加一个新的站点，并指定该站点的物理路径（即网站文件所在的目录）。
2. 处理请求：当客户端请求一个静态文件（如HTML、CSS、图片等）时，IIS直接从物理路径中读取该文件，并将其内容返回给客户端。

托管动态Web应用程序

1. 配置应用程序池：应用程序池是IIS用来隔离不同Web应用程序的一个机制。每个应用程序池都有自己的工作进程，可以独立运行和管理应用程序。
2. 配置站点和应用程序：类似于静态网站，动态Web应用程序也需要在IIS管理控制台中配置站点，并指定物理路径。不过，动态应用程序通常需要额外的配置，比如设置脚本处理程序或安装运行时环境（如ASP.NET、PHP等）。
3. 处理请求：当客户端请求一个动态页面（如ASP.NET页面或PHP脚本）时，IIS会将请求转发给相应的处理程序（如ASP.NET处理程序或PHP处理程序），处理程序执行脚本并生成动态内容，然后将结果返回给IIS，IIS再将结果返回给客户端。

二、IIS与文件解析

要理解IIS解析漏洞，首先需要了解IIS是如何解析和处理文件请求的。IIS能够解析和处理文件请求的核心在于其"处理程序映射"（Handler Mapping）和"模块"（Modules）功能。以下是IIS处理文件请求的工作流程：

1. 接收请求：客户端（例如浏览器）发出HTTP请求，IIS接收到这个请求。
2. 解析URL：IIS解析请求的URL，确定请求的资源路径和文件名。
3. 确定处理程序：根据文件扩展名和请求类型，IIS使用一个叫做"处理程序映射"（Handler Mapping）的配置来确定文件扩展名与处理程序的映射关系。例如：

.html -> StaticFileHandler
.asp -> AspClassicHandler
.php -> PhpHandler

这个映射关系决定了当IIS收到一个文件请求时，应该调用哪个处理程序来处理这个请求。

4. 调用处理程序：IIS将请求传递给相应的处理程序。处理程序读取请求的资源，执行必要的操作（如运行脚本、查询数据库等），然后生成响应内容。
5. 返回响应：处理程序将响应内容返回给IIS，IIS再将响应发送回客户端。

三、IIS解析漏洞概述

IIS解析漏洞主要发生在IIS处理文件扩展名时，由于处理不当导致的安全漏洞。通过利用这个漏洞，攻击者可以绕过安全机制，执行恶意代码或访问未授权的资源。

1. 文件解析与多重文件扩展名

通常情况下，程序在解析文件名时会依据文件名的最后部分的后缀来确定文件的类型和处理方式。然而，IIS的文件解析过程有时会存在特殊情况，这可能会导致漏洞的产生。

多重文件扩展名问题

多重文件扩展名是指一个文件名中包含多个扩展名 ，例如example.asp;.jpg。在正常情况下，文件扩展名用于告诉Web服务器如何处理这个文件。

然而，IIS在处理多重文件扩展名时，有时会根据第一个扩展名来决定如何处理文件，而忽略后面的部分。例如：

• 文件名：example.asp;.jpg
• IIS处理方式：将其视为ASP脚本（因为.asp在前）

这种情况下，即使文件的扩展名包含.jpg，IIS也会将其当作ASP脚本来执行。这种行为可能被攻击者利用，导致安全漏洞。例如，攻击者可以上传一个包含恶意代码的文件，并利用多重文件扩展名绕过文件类型检查，使得IIS将其作为脚本执行。

2. 深入理解多重文件扩展名问题

要更深入理解IIS在处理多重文件扩展名时的问题，需要了解IIS版本的差异和配置的影响。

1. IIS版本差异

IIS的处理行为在不同版本之间可能有所不同。早期版本的IIS（如IIS 6.0）在处理多重文件扩展名时存在一些已知的问题，这些问题在IIS 7.0及更高版本中得到了改进。然而，配置不当仍可能导致多重文件扩展名问题。

早期版本（IIS 6.0及之前）

在IIS 6.0及之前的版本中，IIS在处理多重文件扩展名时可能会根据第一个扩展名来决定文件的处理方式。例如：

• 文件名：example.asp;.jpg
• IIS 6.0处理方式：将其视为ASP脚本（因为.asp在前）

这种行为可能被攻击者利用，通过构造特殊的文件名绕过文件类型检查。

后续版本（IIS 7.0及之后）

在IIS 7.0及之后的版本中，IIS改进了对文件扩展名的处理，但这取决于具体的配置。通常，IIS会根据最后一个扩展名来确定文件的处理方式。然而，如果配置不当，例如处理程序映射中存在安全漏洞，依然可能导致安全问题。

2. 多重文件扩展名的实际场景

多重文件扩展名的问题通常出现在以下几种场景中：

文件上传漏洞

网站允许用户上传文件，并根据扩展名来检查文件类型。例如，只允许上传图片文件（如.jpg、.png）。攻击者上传一个名为malicious.asp;.jpg的文件，绕过文件类型检查，因为文件名包含.jpg扩展名。

如果IIS没有正确处理这个文件名，可能会将其作为ASP脚本执行，而不是图片文件。例如：

• 文件上传检查：只允许.jpg文件上传。
• 攻击者上传文件：malicious.asp;.jpg
• 文件存储路径：/uploads/malicious.asp;.jpg
• 访问文件：http://example.com/uploads/malicious.asp;.jpg
• 如果IIS错误地将其视为ASP脚本，可能会执行其中的恶意代码。

3. 其他导致IIS漏洞的方法

除了多重文件扩展名，还有其他方法可能导致IIS漏洞，包括目录遍历、错误配置等。

目录遍历漏洞

目录遍历漏洞（Directory Traversal Vulnerability）是指攻击者通过构造特殊的请求URL，访问到Web服务器上本不应该访问的文件或目录。攻击者通常使用"../"字符序列来向上移动目录层级，访问系统敏感文件。

http://example.com/../../windows/system32/cmd.exe

如果IIS没有正确处理这种请求，攻击者可能会访问到C:\windows\system32\cmd.exe，从而获取系统命令行的访问权限。

错误的处理程序配置

IIS通过处理程序映射来确定如何处理不同类型的文件。如果处理程序映射配置不当，可能导致安全问题。例如，如果配置错误，将.txt文件映射到脚本处理程序，那么上传的.txt文件可能会被当作脚本执行，造成安全风险。

不安全的默认设置

IIS默认安装时的一些设置可能不够安全，容易被攻击者利用。例如：

• 默认启用的示例代码：IIS安装时可能包含一些示例代码或脚本，如果这些示例代码包含漏洞，攻击者可以利用它们进行攻击。
• 默认账户权限：IIS默认使用的账户权限可能过高，攻击者通过漏洞获取这些权限后，可能对系统造成更大的破坏。

四、IIS解析漏洞的防御措施

了解了IIS解析漏洞的工作原理，我们可以采取以下措施来防御：

严格的文件上传验证

• 限制上传文件类型：通过MIME类型和文件扩展名双重检查来确保只允许合法的文件上传。
• 重命名上传文件：将上传文件重命名为随机生成的文件名，避免攻击者利用文件扩展名进行攻击。

配置和处理

IIS的行为在很大程度上取决于具体的配置，包括处理程序映射和URL重写规则。正确的配置可以有效防止多重文件扩展名问题。

处理程序映射

处理程序映射定义了IIS如何处理不同扩展名的文件。确保处理程序映射正确配置，可以减少安全风险。例如，只允许特定扩展名的文件由特定处理程序处理，其他扩展名的文件作为静态文件处理。

<system.webServer>
  <handlers>
    <remove name="ASPClassic" />
    <remove name="PHP" />
    <add name="StaticFile" path="*.jpg" verb="*" modules="StaticFileModule" resourceType="File" />
  </handlers>
</system.webServer>

URL重写规则

URL重写规则可以用来控制和规范URL的结构，防止恶意构造的URL请求。例如，通过规则禁止带有多重扩展名的文件请求。

<rule name="BlockMultipleExtensions">
  <match url=".*\.(.*)\..*" />
  <action type="CustomResponse" statusCode="403" statusReason="Forbidden" statusDescription="Multiple extensions are not allowed." />
</rule>

五、总结

IIS解析漏洞利用了IIS在处理文件扩展名时的不足，通过未经过滤的文件上传和特殊构造的URL请求进行攻击。通过了解IIS解析的基本原理和注入攻击的工作机制，我们可以采取适当的防御措施，确保我们的Web服务器安全。希望通过这个详细的讲解，你对IIS解析漏洞有了更深入的理解。