Web-based Distributed Authoring and Versioning (hay WebDAV) là thành phần mở rộng của IIS cho phép người sử dụng có thể quản lý file (xóa, chỉnh sửa, …) trên máy chủ web. Lỗ hổng này xảy ra trong quá trình xử lý ký tự unicode %c0%af (Unicode / character).
Cho phép kẻ tấn công có thể vượt qua cơ chế bảo vệ để liệt kê thư mục, file; đọc file, tạo file,...

Lỗ hổng này mới được phát hiện và chưa có bản vá. Theo nghiên cứu của chúng tôi lỗ hổng này thuộc loại nguy hiểm.
Tại Việt Nam đã có nhưng site bị tấn công đầu tiên như anhso.net (23/05) (có video demo).
Chúng tôi cũng phát hiện nhiều server quan trọng của các bộ ngành, doanh nghiệp, các cơ quan ... bị lỗ hổng này.

Tôi xin tóm tắt lộ trình lỗ hổng này như sau :
Lỗ hổng này được phát hiện ngày 12-05-2009 bởi Kingcope
Ngày 15-04-2009 được đưa lên Milw0rm.com : http://milw0rm.com/exploits/8704
Ngày 18-05-2009 : CVE đưa ra cảnh báo, Microsoft cũng chính thức đưa ra cảnh báo lỗi này.
Ngày 20-05-2009 : có hướng dẫn cách khai thác đầu tiên http://www.skullsecurity.org/blog/?p=285
Ngày 21/22-05-2009 : có 2 exploit trên milw0rm : exploit bằng cadaver pathed (1 client của WebDAV chạy trên linux), exploit bằng php

Exploit it!

Các bước tấn công được mô tả kỹ trong tài liệu WebDAV Detection, Vulnerability Checking and Exploitation gồm 3 bước chính:
- Phát hiện server chạy WebDAV
Dùng nmap để quét hoặc một số chương trình quét bảo mật như Acunetix (windows)...
Lưu ý :phiên bản tối thiểu là 4.85 và có cài thêm script http-iis-webdav-vuln hướng dẫn dùng nmap để quét (làm theo đúng tài liệu này)
- Phát hiện server bị lỗi : xử dụng nmap
- Khai thác (exploit)
Dùng cadaver hoặc exploit php ở trên

Hình ảnh scan bằng nmap

Hình ảnh minh họa list file và đọc file với lỗ hổng webdav dùng client cadaver



Khắc phục

Hiện tại chưa có bản vá nên cần tắt webdav đi.
vào IIS --> Local Computer -->Web Service Extension --> tắt WebDav

Hoặc:

Start > Run > regedit
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameter.
DisableWebDAV --> 1

This is a Simple Python remote command (Simple python shell - SPyShell) with password protected

#!/usr/bin/env python
# Simple python shell by Pham Duc Hai (duchaikhtn@gmail.com)
# http://guru.net.vn
import socket
import os
import commands

host = ''
port = 2009
password = 'secretcode'

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1)
s.bind((host, port))
s.listen(1)

print "Server is running on port %d; press Ctrl-C to terminate." % port

clientsock, clientaddr = s.accept()
clientfile = clientsock.makefile('rw', 0)
clientfile.write("SPyShell by Pham Duc Hai\n")
clientfile.write("Welcome, " + str(clientaddr) + "\n")

while 1:

clientfile.write("Please enter password: ")
line = clientfile.readline().strip()
if line == password:

clientfile.write('\n\r# ')
while 1:

line = clientfile.readline().strip()
if line == "exit":

clientfile.close()
clientsock.close()
output = commands.getstatusoutput(line)

for i in output:

clientfile.write(i)
clientfile.write('\n\r# ')

else:
clientfile.write('Wrong password!\n\r')

Download :

SpyShell.txt (1,11 KB)

SpyShell.zip (,65 KB)