Início / server / Perguntas / 670658
Accepted
KenD
Asked: 2015-02-24 01:53:12 +0800 CST

Corrigindo a vulnerabilidade de til do IIS

  • 772

Um de nossos servidores IIS (IIS 7.5, Server 2008 R2) é aparentemente "vulnerável" ao problema de divulgação de nome de arquivo curto til .

No entanto, estou tendo dificuldade em corrigir o problema. Até agora, eu

  • Desativou os nomes de arquivo 8.3, parou o servidor web, recriou o diretório do site e iniciou o serviço novamente

  • Adicionada uma regra de filtro para um til na URL:

insira a descrição da imagem aqui

  • Adicionada uma regra de filtro para um til EM QUALQUER LUGAR:

insira a descrição da imagem aqui

  • IISRESETalgumas vezes

  • Verificado web.configse as regras de filtro relevantes foram adicionadas

.. mas ainda assim, não consigo fazer meu site passar no teste :

java -jar ~/temp/IIS-ShortName-Scanner-master/IIS_shortname_scanner.jar http://www.example.com

[...SNIP...]

Testing request method: "TRACE" with magic part: "/webresource.axd" ...
Testing request method: "DEBUG" with magic part: "" ...
Testing request method: "OPTIONS" with magic part: "" ...
Testing request method: "GET" with magic part: "" ...
Reliable request method was found = GET
Reliable magic part was found = 
144 requests have been sent to the server:

<<< The target website is vulnerable! >>>

O que mais preciso fazer para resolver isso?

EDIT: aqui está o DIR /xque parece não mostrar nomes de arquivos 8.3:

insira a descrição da imagem aqui

e aqui está o pool de aplicativos para o site (todos os outros sites no servidor são os mesmos):

insira a descrição da imagem aqui

EDIT2 : Verificação de que não há nomes de arquivo 8.3 restantes:

insira a descrição da imagem aqui

security

5 respostas

  1. Best Answer

    Tente procurar nomes de arquivos curtos existentes com fsutil:

    • fsutil 8dot3name scan /s /v E:\inetpub\wwwroot

    E tire-os se forem encontrados:

    • fsutil 8dot3name strip /s /v E:\inetpub\wwwroot

    Também olhando o log com a parte mágica vazia ( magic part: ""), imagino se isso pode ser um bug no POC. Esta linha em config.xml parece ter uma vírgula extra após /webresource.axd:

    <entry> key="magicFinalPartList">
 <![CDATA[\a.aspx,\a.asp,/a.aspx,/a.asp,/a.shtml,/a.asmx‌​,/a.ashx,/a.config,/a.php,/a.jpg,/webresource.axd,,/a.xxx]]>
</entry>

    Eu perguntei ao dev. via Twitter sobre isso e ele respondeu:

    Para casos raros em que não foram necessárias extensões. Mas, recentemente, isso só causou mais problemas! Vou removê-lo agora.

    Eu o removi do arquivo de configuração. Esta foi a 2ª reclamação por isso era o momento certo para esta mudança.

    Então, parece que você está seguro agora :)

    • 7

  2. também "OBSERVAÇÃO: a alteração na entrada de registro NtfsDisable8dot3NameCreation afeta apenas arquivos, pastas e perfis criados após a alteração. Os arquivos que já existem não são afetados."

    Observação: embora a desativação da criação de nome de arquivo 8.3 aumente o desempenho do arquivo no Windows, alguns aplicativos (16 bits, 32 bits ou 64 bits) podem não conseguir localizar arquivos e diretórios com nomes de arquivo longos.

    • 1

  3. Infelizmente, a única maneira de realmente lidar com isso é um conjunto irritante de giros, dependendo da sua versão do Windows, desativando a capacidade de gerar nomes 8.3.

    Para a sua versão do Windows:

    Para desabilitar a criação de nome 8.3 em todas as partições NTFS, digite fsutil.exe behavior set disable8dot3 1 em um prompt de comando elevado e pressione Enter.

    Fonte: http://support.microsoft.com/kb/121007

    • 0

  4. Não tenho certeza se o script funciona e como sua rede está configurada, mas que tal filtrar por meio de algo na frente do servidor IIS (mesmo que seja apenas um dispositivo virtual em uma máquina virtual)? Ou seja, você configurou um IPS com uma regra que descarta especificamente o tráfego referente a esse problema específico?

    • 0

  5. A melhor solução está abaixo, pois não podemos remover após cada nova implantação.

    Teste/verifique o site em busca de vulnerabilidade com o link abaixo (instale o java e execute o comando para testar/verificar).

    Comando para escanear o site:

    java -jar iis_shortname_scanner.jar 2 20 https://example.com/

    Procure por nomes de arquivos curtos existentes:

    fsutil 8dot3name scan /s /v c:\inetpub\wwwroot

    Verifique se a criação do nome 8dot3 está desabilitada ou habilitada:

    fsutil 8dot3name query C:\Release\SiteRootDocumentPath

    Se a criação de nome 8dot3 estiver habilitada, use o comando abaixo para desabilitar:

    fsutil 8dot3name set C:\Release\SiteRootDocumentPath 1

    As propriedades 8dot3name são definidas para habilitar a criação de nome 8dot3 para um volume especificado (0) ou para desabilitar a criação de nome 8dot3 no volume especificado (1)

    Mesmo se você reimplantar o código no caminho físico do site (SiteRootDocument), ele não criará arquivos com nomes curtos.

    A verificação será aprovada :)

    • 0

relate perguntas