IIS提升权限漏洞
作者：袁哥
此公
告除了公布3个拒绝服务漏洞外还公布了两个比较严重的漏洞。一个是IIS的
SSINC.DLL溢出漏洞，另一个是IIS提升权限漏洞。其实我们的
计划
项目进度计划表范例计划下载计划下载计划下载课程教学计划下载
是
SSINC.DLL的溢出公布后下一个就是这个权限提升漏洞。不过由于微软补丁的速
度问题，没想到被别人先通告微软了。
下面是原来内部的一些
资料
新概念英语资料下载李居明饿命改运学pdf成本会计期末资料社会工作导论资料工程结算所需资料清单
：
IIS4默认情况下，应用程序保护选项是“低（共用IIS进程）”，所以加载
isapi的时候是以加载IIS的身份执行。但WIN2K+IIS5.0默认情况下应用程序保护选项是“中（共用的）”，这时IIS加载isapi是用的
iwam_computername用户身份执行。
但默认情况下WIN2K+IIS5对于一些特殊isapi又要以system身份加载。win2k+iis5 、win2k+iis5+sp1、win2k+iis5+sp2都是简单的判断isapi的文件名，并且没有做目录限制，以SYSTEM权限加载的isapi有：
1、 idq.dll
2、 httpext.dll
3、 httpodbc.dll
4、 ssinc.dll
5、 msw3prt.dll
6、 author.dll
7、 admin.dll
8、 shtml.dll
9、 sspifilt.dll
10、compfilt.dll
11、pwsdata.dll
12、md5filt.dll
13、fpexedll.dll
所以利用这很容易得到SYSTEM权限。并且判断文件名的时候有个bug，比如请
求/scripts/test%81%5cssinc.dll也将会认为是请求的ssinc.dll,就是分离文件路径的时候没有考虑到双字节的远东版问题。ssinc.dll在处理包含文件路
径的时候也有一个问题，就是"/"、"\"只识别了一个"/"，所以如果请求里面使
用"\"，就会错误的处理包含文件路径，有可能泄露东西或者出现权限漏洞，
这种漏洞很多别的地方（ php、asp等）也还存在。
但在补了
补丁
(%25二次解码补丁包，包含在sp3)后，加载这些isapi不是单以文件名做依
据了，而是加了路径，应该是修正了此问题。
一般默认情况下是：
1、 idq.dll d:\winnt\system32\idq.dll
2、 httpext.dll d:\winnt\system32\inetsrv\httpext.dll 3、 httpodbc.dll d:\winnt\system32\inetsrv\httpodbc.dll 4、 ssinc.dll d:\winnt\system32\inrtsrv\ssinc.dll 5、 msw3prt.dll d:\winnt\system32\msw3prt.dll 6、 author.dll D:\Program Files\Common Files\Microsoft Shared\web
浙公网安备 33021202002483