安全通报 971492: IIS 缓解与 FAQ Part II [转译]


<<本文章转译自 Security Research & Defense 博客文章 "Answers to the IIS WebDAV authentication bypass questions">>

相关中文博客文章请参考:"安全通报 971492: IIS 缓解与 FAQ Part I

 

我们最近收到客户关于 IIS 中 WebDAV 验证绕过的一些问题反馈,想在此发表一些常见问题以及回答来帮助任何有同样问题的客户。

问题:Sharepoint 是否有验证绕过的脆弱性

回答:没有。Sharepoint 不具有这个漏洞的脆弱性。Sharepoint 小组并没有用到 IIS 的相同代码。他们的 DAV 服务器运用了后端的 SQL 存储,而不是文件系统。

问题:Outlook Web Access (OWA) 是否有验证绕过的脆弱性

回答:没有。OWA 不具有这个漏洞的脆弱性。Exchange 2007 以及之前的版本都支持 WebDAV 协议,但是他们对于 WebDAV 的执行方式是 Exchange 式的,即只有读取/写入,而不与文件系统直接互动。

问题:如何在我的环境中找到运行 WebDAV 的 IIS 服务器

回答:你可以在服务器上运行 IIS 管理器界面来很快区别是否这个服务器运行 WebDAV。如果你想远程操作,可以直接向服务器发送一个 HTTP 请求

$ telnet server 80
OPTIONS / HTTP/1.1
Host: server
Accept: */*

(在空白行上的一个额外的回车可以完成对于 Web 服务器的请求)

如果你收到一个如下的 HTTP 响应,那么这个服务器就运行了 WebDAV。

HTTP/1.1 200 OK
Date: Wed, 20 May 2009 00:52:58 GMT
Server: Microsoft-IIS/6.0
X-Powered-By: ASP.NET
MS-Author-Via: DAV
Content-Length: 0
Accept-Ranges: none
DASL:
DAV: 1, 2
Public: OPTIONS, TRACE, GET, HEAD, DELETE, PUT, POST, COPY, MOVE, MKCOL, PROPFIND, PROPPATCH, LOCK, UNLOCK, SEARCH
Allow: OPTIONS, TRACE, GET, HEAD, COPY, PROPFIND, SEARCH, LOCK, UNLOCK
Cache-Control: private

通过以上响应来判断WebDAV是否存在的逻辑如下:

  • 收到 2xx 的响应表示 OPTIONS 请求已经送达了网站根目录
  • 响应中含有 DAV 头部,值为:1,2
  • 响应中含有 MS-Author-Via 头部,值为:DAV
  • 响应中没有 X-MSDAVEXT 头部,如果存在则表示这是一个 Sharepoint 的 DAV

WebDAV 与 WebDAV 重定向器/小型重定向器的区别。

回答:WebDAV 服务器是在服务端的一个服务器组件,能在 IIS 上面发布 WebDAV。WebDAV 服务器组件在 previous SRD blogMSRC security advisory 中涉及到。

Windows 同样也包括客户端组件,使客户端与 WebDAV 服务器的互动更加容易。客户端组件并没有受到这个漏洞的影响。WebDAV 重定向器是一个建立在 WebDAV 协议上的远程文件系统,通过命令行可以允许 Windows 客户机与 WebDAV 发布的目录联系。WebDAV 重定向器让你能够在 Web 上操作文件就如同文件存在于有映射的网络驱动器上一般。WebDAV 小型重定向器也被叫做网络客户服务。这个服务可以将启动 DAV 功能的文件夹显示为通用命名约定(UNC)共享。

如果您有对于此漏洞任何问题,请联系我们,谢谢。

- Jonathan Ness, MSRC Engineering

相关中文博客文章请参考:"安全通报 971492: IIS 缓解与 FAQ Part I

Comments (0)

Skip to main content