在IIS 6.0环境中，命令执行漏洞通常源于配置不当或组件缺陷，攻击者可通过特定手段在服务器上执行任意系统命令，严重威胁服务器安全，以下从漏洞成因、利用方式、防御措施及案例分析等方面进行详细阐述。
漏洞成因与利用条件
IIS 6.0的命令执行漏洞主要涉及以下几种情况：
- 组件漏洞：如存在漏洞的第三方组件（如
ws2_3.dll、msdtc.exe等），攻击者可通过构造特殊请求触发组件漏洞，执行系统命令，利用MS10-018漏洞，攻击者可通过发送特制HTTP请求调用msdtc.exe并传递命令参数。 - 解析漏洞：IIS 6.0对文件名解析存在缺陷，如
xx.asp;.jpg可能被解析为ASP文件，攻击者可通过上传包含恶意代码的图片马,结合目录遍历漏洞执行命令。 - 权限配置不当：如果IIS进程账户（如
IUSR_机器名）具有过高权限（如Users组以上），攻击者一旦获取Webshell，可直接通过cmd.exe或powershell.exe执行系统命令。
命令执行利用方式
攻击者通常通过以下路径实现命令执行：
- Webshell上传：通过文件上传漏洞或弱口令登录上传恶意脚本（如
aspx.aspx、cmd.aspx），脚本中调用Process.Start()执行命令。 - 远程代码执行（RCE）：利用IIS 6.0的缓冲区溢出漏洞（如
CVE-2009-3555），构造恶意数据包触发漏洞,直接执行系统命令。 - 日志注入：通过User-Agent或Referer字段注入恶意命令（如
||net user），结合日志解析漏洞（如log.dll）触发命令执行。
以下为常见命令执行函数及利用示例：
| 函数/组件 | 利用方式 | 示例代码 |
|----------------------|-------------------------------------------|---------------------------------------|
| cmd.exe /c | 通过Webshell调用命令行执行系统命令 | cmd /c "net user > c:\temp.txt" |
| mshta.exe | 执行HTA文件，绕过安全限制 | mshta vbscript:Execute("cmd /c net user") |
| certutil.exe | 利用其编码/解码功能执行命令 | certutil -decode c:\temp.txt c:\shell.asp |
| 漏洞组件 | 构造特请求数据包触发漏洞 | POST /msdtc/ HTTP/1.1 + 恶意参数 |
防御措施
- 及时更新补丁：安装微软官方发布的IIS 6.0安全补丁，修复已知漏洞（如MS10-018、MS09-020）。
- 最小权限原则：限制IIS进程账户权限，仅授予
IUSR_机器名必要的读写权限，避免使用Administrators组账户。 - 组件禁用与审计：禁用不必要的IIS扩展（如
WebDAV），定期审计第三方组件版本,移除存在漏洞的组件。 - 输入过滤与白名单：对文件上传、表单输入等场景进行严格过滤，限制文件扩展名（如仅允许
.jpg、.png）,使用白名单机制。 - 日志监控：启用IIS日志记录，监控异常请求（如包含
cmd.exe、、&等字符的请求）,设置告警规则。
案例分析
某网站因未及时安装MS10-018补丁,攻击者通过发送以下请求触发漏洞：
POST /msdtc/ HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 123
transaction=||cmd /c "echo ^<%@ Page Language=JScript%^>^<%=Request.Item[\"cmd\"]%^>^ > c:\shell.aspx"%该请求利用msdtc.exe的漏洞，在服务器根目录创建一个可执行任意命令的ASP文件,最终导致服务器被控制。
相关问答FAQs
Q1: 如何判断IIS 6.0服务器是否存在命令执行漏洞？
A1: 可通过以下方式排查：
- 使用漏洞扫描工具（如Nessus、AWVS）扫描目标服务器，检测是否存在已知漏洞（如MS10-018）；
- 手动测试：尝试上传文件名为
test.asp;.jpg的文件，检查是否能被解析为ASP文件； - 监控日志：分析IIS日志，查找频繁出现的
cmd.exe、powershell.exe等进程调用记录。
Q2: 如果发现IIS 6.0服务器存在命令执行漏洞，应如何应急处理？
A2: 应急处理步骤如下：
- 隔离服务器：立即断开服务器与网络的连接，防止攻击者进一步渗透；
- 清除恶意文件：删除Web目录下的Webshell文件及异常创建的临时文件；
- 修复漏洞：安装官方补丁，禁用不必要的组件，重置IIS进程账户密码；
- 加固配置：启用IP限制、URL重写等策略，限制恶意请求；
- 溯源分析：检查系统日志、数据库操作记录，分析攻击路径,评估数据泄露风险。
