打開(kāi)一個(gè)IIS服務(wù)器來(lái)看看。在IIS服務(wù)管理器中，選擇一個(gè)目錄，
看他的屬性在目錄屬性項有有這么一些選項：
腳本資源訪(fǎng)問(wèn)： 對網(wǎng)站的腳本可以讀取原文件。
讀取 讀取目錄里面的靜態(tài)資源。
寫(xiě)入 用戶(hù)可以建立以及刪除資源
目錄瀏覽 用戶(hù)可以瀏覽目錄內容。
應用程序設置的執行許可中有三個(gè)選項：
無(wú) 只能訪(fǎng)問(wèn)靜態(tài)頁(yè)面
純腳本 只允許允許腳本 如ASP腳本
腳本和可執行程序 可以訪(fǎng)問(wèn)和執行各種文件類(lèi)型
執行權限
向服務(wù)器發(fā)送一個(gè)下面得請求：
http://iis-server/dir/no-such-file.dll
/dir/為要判斷得目錄，no-such-file.dll是隨便取得一個(gè)名字，
服務(wù)器上面沒(méi)有這個(gè)文件。
如果返回的是一個(gè)500錯誤：
HTTP 500 - 內部服務(wù)器錯誤,說(shuō)明這個(gè)目錄的執行權限是開(kāi)著(zhù)的。
如果服務(wù)器返回的是一個(gè) 404 錯誤：
HTTP 404 - 未找到文件
那么就說(shuō)明這個(gè)目錄的執行權限沒(méi)有開(kāi)。
寫(xiě)權限
telnet 到服務(wù)器的web端口(80)并發(fā)送一個(gè)如下請求：
PUT /dir/my_file.txt HTTP/1.1
Host: iis-server
Content-Length: 10
這時(shí)服務(wù)器會(huì )返回一個(gè)100( 繼續)的信息：
HTTP/1.1 100 Continue
Server: Microsoft-IIS/5.0
Date: Thu, 28 Feb 2002 15:56:00 GMT
接著(zhù)，我們輸入10個(gè)字母：
AAAAAAAAAA
送出這個(gè)請求后，看服務(wù)器的返回信息，如果是一個(gè)201Created
響應：
HTTP/1.1 201 Created
Server: Microsoft-IIS/5.0
Date: Thu, 28 Feb 2002 15:56:08 GMT
Location: http://iis-server/dir/my_file.txt
Content-Length: 0
Allow: OPTIONS, TRACE, GET, HEAD, DELETE, PUT, COPY, MOVE, PROPFIND,
PROPPATCH, SEARCH, LOCK, UNLOCK
那么就說(shuō)明這個(gè)目錄的寫(xiě)權限是開(kāi)著(zhù)的，
如果返回的是一個(gè) 403 錯誤，那么寫(xiě)權限就是 沒(méi)有開(kāi)起來(lái)，
如果需要你認證，并且返回一個(gè) 401(權限禁止) 的響應的話(huà)，
說(shuō)明是開(kāi)了寫(xiě)權限，但是匿名用戶(hù)不允許。
如果一個(gè)目錄同時(shí)開(kāi)了”寫(xiě)”和“腳本和可執行程序”的話(huà)，
那么web用戶(hù)就可以上傳一個(gè)程序并且執行它.
純腳本執行權限
很多不需要給執行權限的目錄也被管理員給了腳本執行權限，
發(fā)送一個(gè)如下一個(gè)請求：
http://iis-server/dir/no-such-file.asp
返回404文件不存在說(shuō)明有執行權限，返回403則是沒(méi)有開(kāi)。
瀏覽目錄權限
判斷一個(gè)目錄是否允許瀏覽可能需要一點(diǎn)點(diǎn)小技巧，但是，
在網(wǎng)站的默認首頁(yè)(如:default.asp)不存在的話(huà)，那么就
再簡(jiǎn)單不過(guò)了。在瀏覽器里面輸入：
http://iis-server/dir/
如果權限開(kāi)著(zhù)的，那么會(huì )返回200響應，并且列出當前目錄
里面的內容，反之，沒(méi)有列出目錄的話(huà)就是關(guān)了。但是，
如果默認頁(yè)面default.asp存在呢？敲入上面的地址就直接
打開(kāi)這個(gè)頁(yè)面了。別急，WebDAV 里面有一個(gè)請求方法叫：
PROFIND。這個(gè)方法使得我們可以從服務(wù)器資源里面得到一
些如文件名，創(chuàng )建時(shí)間，最后修改時(shí)間等等的信息。利用
它我們也可以繞過(guò) default.asp 來(lái)判斷目錄瀏覽權限的
情況，telnet到IIS-server的web端口，發(fā)送如下請求：
PROPFIND /dir/ HTTP/1.1
Host: iis-server
Content-Length: 0
這時(shí)，服務(wù)器會(huì )送回一個(gè)207 Multi Status的響應，如果
目錄是允許瀏覽的，那么同時(shí)會(huì )列出目錄里面的資源以及
他們的屬性。如果目錄瀏覽不允許，返回的信息就會(huì )少的
多。目錄瀏覽一般來(lái)說(shuō)只能算是一個(gè)低危險等級的漏洞，
比如一個(gè)images目錄，里面除了圖片沒(méi)有別的東西了，那
對于服務(wù)器的安全就沒(méi)有什么危害，但是，如果目錄里面
放了一個(gè)管理頁(yè)面adminpage.asp或者一些數據庫連接信
息文件，可能會(huì )導致你的服務(wù)器拱手相讓給入侵者。
讀權限
判斷這點(diǎn)很容易，發(fā)一個(gè)帶 txt文件的請求就可以：
http://iis-server/dir/no-such-file.txt
如果返回一個(gè) 404 文件不存在的響應，就說(shuō)明讀權限是開(kāi)
著(zhù)的,反正，返回403錯誤則說(shuō)明都權限沒(méi)有開(kāi)。早幾年接
觸安全的人一定知道 ::$DATA泄露ASP源代碼的漏洞，其實(shí)
如果一個(gè)目錄里面權勢asp腳本的話(huà)，那么讀權限也可以不
用開(kāi)的，ASP只需要腳本執行權限就可以了。
IIS 認證方法的判斷
這個(gè)漏洞是最近才公布出來(lái)的，IIS服務(wù)器支持匿名訪(fǎng)問(wèn)，
基本認證和使用NTLM方式的windows集成認證，如果客戶(hù)端
發(fā)送一個(gè)包含認證信息的請求，IIS就會(huì )強行的嘗試用這些
認證信息取認證，并且放回不會(huì )的響應。這樣我們就能夠
確定IIS的認證的配置。
要確定IIS是否支持基本認證，可以telnet到服務(wù)器的80端
口，發(fā)送如下請求：
GET / HTTP/1.1
Host: iis-server
Authorization: Basic c3lzdGVtOm1hbmFnZXIA
這是一個(gè)基本認證的請求，里面包含了一個(gè)base 64編碼的
用戶(hù)ID和PASS，Basic后面那串字符經(jīng)過(guò)base 64解碼以后
就是 system:manager 。如果服務(wù)器返回一個(gè)401信息，
則說(shuō)明基本認證選項是開(kāi)著(zhù)的。如果返回200信息，則有2種
可能，基本認證選項沒(méi)有開(kāi)或者是服務(wù)器存在一個(gè)用戶(hù)名是
system的用戶(hù)名，并且密碼是manager (猜中的話(huà)，行大運啦)。
要確定NTLM選項是否開(kāi)啟則可以向IIS發(fā)送如下請求
GET / HTTP/1.1
Host: iis-server
Authorization: NegotiateTlRMTVNTUAABAAAAB4IAoAAAAAAAAAAAAAAAAAAAAAA=
同樣，如果返回401消息，則說(shuō)明支持NTLM，返回200說(shuō)明無(wú)
NTLM認證選項沒(méi)有開(kāi)啟。
對于大多數網(wǎng)站來(lái)說(shuō)，這兩種認證方式都是不需要開(kāi)起來(lái)的，
他們有可能泄露一些服務(wù)器的重要信息。
泄露內部IP地址信息
如果IIS服務(wù)器在一個(gè)使用NAT的防火墻里面的話(huà)，通常都有個(gè)
內部地址如10.x.x.x。
如果IIS開(kāi)啟了基本認證選項，那么發(fā)送如下一個(gè)簡(jiǎn)單的請求就
可以得到服務(wù)器的內部IP：
GET / HTTP/1.1
Host:
Authorization: Basic c3lzdGVtOm1hbmFnZXIA
服務(wù)器將返回一個(gè)如下響應：
HTTP/1.1 401 Access Denied
Server: Microsoft-IIS/5.0
Date: Fri, 01 Mar 2002 15:45:32 GMT
WWW-Authenticate: Basic realm="10.1.1.2"
Connection: close
Content-Length: 3245
Content-Type: text/html
那個(gè)10.1.1.2就是機器的內部ip地址，本來(lái)realm的值是客戶(hù)
端提供給的一個(gè)主機頭，但這里它是空的，所以IIS就選擇了
本機的IP地址來(lái)代替。同樣的，利用PROPFIND,WRITE,MKCOL等
請求的返回信息，也能泄露主機的一些信息，如我們向服務(wù)器
提請下面這樣一個(gè)請求：
PROPFIND / HTTP/1.1
Host:
Content-Length: 0
在IIS配置成使用主機名（見(jiàn)后）的情況下，則不會(huì )暴露主機
的IP地址，但是會(huì )暴露NetBIOS名。事實(shí)上我們可以利用IIS
的認證獲得更多的信息，如所在域的名字，方法是向服務(wù)器
發(fā)送如下帶NTLM認證的請求：
GET / HTTP/1.1
Host: iis-server
Authorization: NegotiateTlRMTVNTUAABAAAAB4IAoAAAAAAAAAAAAAAAAAAAAAA
服務(wù)器會(huì )返回一個(gè)信息：
HTTP/1.1 401 Access Denied
Server: Microsoft-IIS/5.0
Date: Fri, 01 Mar 2002 16:24:58 GMT
WWW-Authenticate: Negotiate TlRMTVNTUAACAAAADAAMADAAAAAFgoKgeGvyVuvy67U
AAAAAAAAAAEQARAA8AAAAUwBDAFkATABMAEEAAgAMAFMAQwBZAEwA
TABBAAEA DABTAEMAWQBMAEwAQQAEAAwAUwBDAFkATABM
AEEAAwAMAFMAQwBZAEwATABBAAAAAAA=
Content-Length: 3245
Content-Type: text/html
那一長(cháng)串字符就包含了主機名和NT所在域的名字的base 64 編碼。
http://gtogo.myetang.com/po/jiaocheng/65.htm
