home *** CD-ROM | disk | FTP | other *** search
/ Hackers Handbook - Millenium Edition / Hackers Handbook.iso / library / hack99 / ms-personal-webserver-path.txt < prev    next >
Encoding:
Text File  |  1999-03-24  |  11.8 KB  |  422 lines
  1. Personal web server
  2.  
  3. kiborg (contact@kiborg.net)
  4. Wed, 17 Jan 1996 22:30:13 +0200 
  5.  
  6.  
  7. Hello,
  8.  
  9. Sorry if this has already been known. But i didn't find something of the
  10. sort.
  11. While playing with Microsoft Personal Web Server
  12. (Frontpage-PWS32/3.0.2.926).
  13. I found that the following URL will list the root directory and be able to
  14. download any file you want.
  15. http://www.victim.com/....../
  16.  
  17. Index of /....../
  18.  
  19.   WINDOWS
  20.   My Documents
  21.   Program Files
  22.   FrontPage Webs
  23.   AUTOEXEC.BAT
  24.   COMMAND.COM
  25.  
  26. and so on.......
  27.  
  28. -----
  29. contact@kiborg.net     Tavo laiskai, Lietaus lasai,
  30. http://www.kiborg.net     Papasakos man tiek daug pa pa-rara !
  31.  
  32. ---------------------------------------------------------------------------
  33.  
  34. Re: Personal web server
  35.  
  36. Sean Coates (sean@SPATULA.ML.ORG)
  37. Mon, 18 Jan 1999 14:12:32 -0400 
  38.  
  39.  
  40. kiborg wrote:
  41.  
  42. > Hello,
  43. >
  44. > Sorry if this has already been known. But i didn't find something of the
  45. > sort.
  46. > While playing with Microsoft Personal Web Server
  47. > (Frontpage-PWS32/3.0.2.926).
  48. > I found that the following URL will list the root directory and be able to
  49. > download any file you want.
  50. > http://www.victim.com/....../
  51. >
  52.  
  53. That seems to be fixed in the windows98 version of PWS
  54.  
  55. (http://24.231.6.49/....../ returns server error 161)
  56.  
  57. Sean Coates
  58. scoates@usa.net
  59. sean@spatula.ml.org
  60.  
  61. ---------------------------------------------------------------------------
  62.  
  63. Date: Tue, 19 Jan 1999 10:21:24 -0800
  64. From: Aleph One <aleph1@UNDERGROUND.ORG>
  65. To: BUGTRAQ@netspace.org
  66. Subject: Re: Personal web server
  67.  
  68. Here are some feedback from people. Results vary wildly.
  69.  
  70. No:
  71.  
  72. Windows NT 4.0 SP3 ("kiborg" <contact@kiborg.net>)
  73. Windows NT 4.0 SP4 (Russ)
  74. Windows NT 4.0 SP4 PWS 4.02.0622
  75. Windows 2000 beta 2 ("John Sweeney" <quantium@mediaone.net>)
  76. Windows 98 (Sean Coates scoates@usa.ne)
  77.  
  78. Yes:
  79.  
  80. Windows 95 ("kiborg" <contact@kiborg.net>)
  81. Windows 98 ("kiborg" <contact@kiborg.net>)
  82. Windows 98 + fixes & patches ("David Schwartz" <davids@webmaster.com>)
  83.  
  84. Someone mentioned this may be the fault of FrontPage. It asks you to install PWS
  85. when you install FP. It may be possible that FP is configuring PWS in such a way
  86. to leave it open.
  87.  
  88. --
  89. Aleph One / aleph1@underground.org
  90. http://underground.org/
  91. KeyID 1024/948FD6B5
  92. Fingerprint EE C9 E8 AA CB AF 09 61  8C 39 EA 47 A8 6A B8 01
  93.  
  94. ---------------------------------------------------------------------------
  95.  
  96. Date: Thu, 18 Jan 1996 23:44:37 +0200
  97. From: kiborg <contact@kiborg.net>
  98. To: BUGTRAQ@netspace.org
  99. Subject: Re: Personal web server
  100.  
  101.  
  102. >An attempt to do this on a Windows NT 4.0 WS (with SP4) failed with a
  103. >404 error as expected.
  104. Yes on NT 4.0(SP3) i get the same.
  105.  
  106. 404 Not Found
  107. The requested URL /....../ was not found on this server.
  108.  
  109. >Maybe Kiborg can tell us on what platform this was successfully
  110. >performed on together with what, if any, security was configured on said
  111. >box.
  112. I did check on :
  113.  Win95 worked.
  114.  Win98 worked.
  115. and on NT 4.0 (SP3) failed with 404 error.
  116.  
  117. >
  118. >Obviously /....../ shouldn't match to any directory by any convention
  119. >I'm aware of, so its clearly some sort of problem. To determine,
  120. >however, the extent of the risks for Win9x users of PWS we should know
  121. >how the site was being secured, configured, and accessed.
  122.  
  123. Well i discovered what http://127.0.0.1/..../ or http://127.0.0.1/........./
  124. (must be more than 3 dots /..../) will show the root directory.
  125.  
  126.  
  127. -----
  128. contact@kiborg.net     Tavo laiskai, lietaus lasai
  129. http://www.kiborg.net    papasakos man tiek daug pa pa-rara !
  130.  
  131. ---------------------------------------------------------------------------
  132.  
  133. Date: Tue, 19 Jan 1999 13:51:48 -0800
  134. From: Michael Howard <mikehow@MICROSOFT.COM>
  135. To: BUGTRAQ@netspace.org
  136. Subject: Re: Personal web server
  137.  
  138. the frontpage team are looking at it now - as sean noted, the iis codebase
  139. in pws does not have this issue. i'll fwd more info to this alias as soon as
  140. i get more info from the fp team.
  141.  
  142. Cheers, MH
  143. IIS Security
  144.  
  145. ---------------------------------------------------------------------------
  146.  
  147. Date: Tue, 19 Jan 1999 15:13:51 MST
  148. From: Fredrick Moore <fdmore@USA.NET>
  149. To: BUGTRAQ@netspace.org
  150. Subject: Re: Personal Web Server
  151.  
  152. >From: Ilya Varlashkin <ilya@ripn.net>
  153. >GET /....../
  154. ><HEAD><TITLE>404 Not Found</TITLE></HEAD>
  155. ><BODY><H1>404 Not Found</H1>
  156. >The requested URL /....../ was not found on this server.<P>
  157. ></BODY>
  158. >Connection closed by foreign host.
  159.  
  160. Kiborg <contact@kiborg.net> was rite, it works. My testings.
  161. Server: FrontPage-PWS32/3.0.2.926
  162. OS: Win95
  163.  
  164. During installation process i installed only PWS without any other
  165.  
  166. components. Let's test
  167. http://127.0.0.1/....../
  168.  
  169. Index of /....../
  170. (worked)
  171.  
  172. I removed PWS, and installed Typical setup (including: FrontPage client
  173. software, personal web server, FrontPage extensions)
  174. Let's test.
  175. http://127.0.0.1/....../
  176.  
  177. 404 Not Found
  178. The requested URL /....../ was not found on this server.
  179. (failed)
  180.  
  181. Ok let's run command.com
  182. C:\windows\other\dirs\>cd \......\
  183. C:\>
  184. Maybe this is the problem?
  185. Does this work with Win98??
  186.  
  187. >So it seems something is wrong with your PWS settings
  188. Maybe, but i installed freshly without changing anything. Anyway i
  189. think microsoft must check this out.
  190.  
  191. ---------------------------------------------------------------------------
  192.  
  193. Date: Tue, 19 Jan 1999 18:37:55 -0400
  194. From: Sean Coates <sean@SPATULA.ML.ORG>
  195. To: BUGTRAQ@netspace.org
  196. Subject: Re: Personal web server
  197.  
  198. Michael Howard wrote:
  199.  
  200. > the frontpage team are looking at it now - as sean noted, the iis codebase
  201. > in pws does not have this issue. i'll fwd more info to this alias as soon as
  202. > i get more info from the fp team.
  203. >
  204. > Cheers, MH
  205. > IIS Security
  206. >
  207.  
  208.  It seems that servers which are branded "IIS" _DO_ have the problem, and
  209. servers branded with "PWS" do NOT have the problem. For instance, the server at
  210. 24.231.6.49 returns a server version of "Microsoft-PWS-95/2.0" yet the server at
  211. 24.231.6.205 returns "Microsoft-IIS/4.0" and the server at
  212. 24.231.6.2(www.ebci.ca) returns "Microsoft-IIS/4.0 Beta 3".
  213.  
  214. the *.49 server is not vulnerable, and neither is the *.2 server, but the *.205
  215. server IS vulnerable (I told the admin of this machine about the problem, so it
  216. may be fixed by the time this reaches bugtraq.)
  217.  
  218. By talking to the admin of each server, I've concluded that the *.49 server is a
  219. downloaded version of PWS, running on windows98, the *.205 server is PWS from
  220. the windows98 CD (OEM, as far as I know), running on Win98, and the *.2 server
  221. is actually IIS, running on Windows NT Server 4.
  222.  
  223. Sorry about the confusion of my earlier post, hope this clears it up.
  224. My luck, it'll probably just make it worse. (-;
  225.  
  226. Sean Coates
  227. sean@spatula.ml.org
  228. scoates@usa.net
  229.  
  230. ---------------------------------------------------------------------------
  231.  
  232. Date: Wed, 20 Jan 1999 11:57:19 +0300
  233. From: Victor Lavrenko <lavrenko@MCST.RU>
  234. To: BUGTRAQ@netspace.org
  235. Subject: Bug in IIS and PWS but only for Windows 9x. Re: Personal web              server
  236.  
  237. >>>>> "Aleph" == Aleph One <aleph1@UNDERGROUND.ORG> writes:
  238.  
  239. Hello everybody.
  240.  
  241. This bug exists because Windows 9x has a nice feature. When you
  242. excecute "cd .." it goes to the parent directory, and "cd ..." goes to
  243. the parent directory of parent directory etc. Windows NT has no such
  244. feature so it isn't exploitable.
  245.  
  246. IIS 4.0 and PWS 3.0 exploitable while executed under Windows 9x only,
  247. not Windows NT.
  248.  
  249.     Aleph> No:
  250.  
  251.     Aleph> Windows NT 4.0 SP3 ("kiborg" <contact@kiborg.net>) Windows
  252. [skip]
  253.     Aleph> Windows 98 (Sean Coates scoates@usa.ne)
  254.  
  255. Sean checked box with PWS 2.0. Due to another bug in its core, it
  256. seems that is not exploitable. PWS 3.0 doesn't have such bug so it is
  257. exploitable.
  258.  
  259.     Aleph> Yes:
  260.  
  261.     Aleph> Windows 95 ("kiborg" <contact@kiborg.net>) Windows 98
  262. [skip]
  263.     Aleph> it open.
  264.  
  265. PWS and IIS (they have the same core) check for ".." in URL, but don't
  266. check for "...", "...." etc.
  267.  
  268. Summary:
  269.  
  270. 1. IIS 4.0 and PWS 3.0 exploitable under Windows 9x.
  271. 2. IIS (any version) and PWS (any version) not exploitable under
  272.    Windows NT.
  273. 3. PWS 2.0 and (possibly) IIS 3.0 not exploitable under Windows 9x.
  274.  
  275. --
  276. Victor Lavrenko
  277.    Homepage:        http://www.lavrenko.pp.ru/
  278.    E-mail:          lavrenko@mcst.ru  lavrenko@cs.msu.su
  279.    Fingerprint:     35 D0 98 8D 96 E5 F4 BA  59 FB 9D 29 92 26 F5 59
  280.  
  281. ---------------------------------------------------------------------------
  282.  
  283. Date: Wed, 20 Jan 1999 16:59:48 -0800
  284. From: Aleph One <aleph1@UNDERGROUND.ORG>
  285. To: BUGTRAQ@netspace.org
  286. Subject: Re: Personal web server
  287.  
  288. Here is a summary of the problem so far. Windows 95/98 treat "...." as
  289. "..\.." and "......" as "..\..\..". Personal Web Server does not check
  290. for these "aliases" and allows the request. This can be used to
  291. access files and directories above the virtual web root. Disabling
  292. directory browsing only does what it says, disables directory browsing.
  293. If an attcker can guess a path and name of a file, and it is in the same
  294. drive as the web server, he can retrieve the file.
  295.  
  296. The problem only affects FrontPage Personal Web Server. This is the
  297. version shipped with FrontPage. The version not affected is the
  298. Microsoft Personal Web Server.
  299.  
  300. I tought we've seen the last of these Windows file aliases vulnerabilities.
  301. Guess I was wrong. Incredible the amount of cruft the Windows file name
  302. parser will take. Wonder what other wonderful aliases are waiting to be
  303. discovered.
  304.  
  305. --
  306. Aleph One / aleph1@underground.org
  307. http://underground.org/
  308. KeyID 1024/948FD6B5
  309. Fingerprint EE C9 E8 AA CB AF 09 61  8C 39 EA 47 A8 6A B8 01
  310.  
  311. ---------------------------------------------------------------------------
  312.  
  313. Date: Thu, 21 Jan 1999 12:03:57 -0800
  314. From: Aleph One <aleph1@UNDERGROUND.ORG>
  315. To: BUGTRAQ@netspace.org
  316. Subject: Re: Personal web server
  317.  
  318. Thanks to Xiaoyong Wu <xiaoyong_wu@yahoo.com> for pointing out more
  319. Windows weirdness.
  320.  
  321. Under Windows NT 4.0 SP3:
  322.  
  323. C:\> cd TEMP
  324. C:\TEMP> cd ...
  325. C:\TEMP> cd ....
  326. C:\TEMP> cd .....
  327. C:\TEMP>
  328.  
  329. [ It seems NT interprets N+3 dots as '.' ]
  330.  
  331. C:\TEMP> cd ..\
  332. C:\>
  333.  
  334. [ It seems NT interprets '..\' as '..'. Makes sense as '\' is directory
  335.   delimiter character for paths.  ]
  336.  
  337. C:\TEMP> cd ...\
  338. C:\>
  339. C:\> cd TEMP
  340. C:\TEMP> cd ...\WINNT
  341. C:\WINNT>
  342.  
  343. [ Whoa. Now NT interprets '...\' as '..'. Bad. Real bad. ]
  344.  
  345. C:\TEMP> mkdir TEST
  346. C:\TEMP> cd TEST
  347. C:\TEMP\TEST> cd ...\
  348. The system cannot find the path specified.
  349.  
  350. [ Hmm. But it doesn't work in directories more that one deep. ]
  351.  
  352. C:\TEMP> cd ..\...\
  353. C:\>
  354.  
  355. [ That figures. ]
  356.  
  357. C:\TEMP\TEST> cd ..\...
  358. C:\TEMP> cd ....\
  359. C:\TEMP>
  360.  
  361. [ Hmm. Now NT interprets '....\' as '..'. Weird. But wait it gets stranger. ]
  362.  
  363. C:\> cd TEMP
  364. C:\TEMP> cd ....\
  365. C:\TEMP> cd ....\
  366. C:\>
  367.  
  368. [ Huh? The first '....\'  as interpreted as '.' and the second as '..'.
  369.   But... ]
  370.  
  371. C:\> cd TEMP
  372. C:\TEMP> cd TEST
  373. C:\TEMP\TEST> cd ....\
  374. C:\TEMP\TEST> cd ....\
  375. The system cannot find the path specified.
  376. C:\TEMP\TEST> cd ..
  377. C:\TEMP\TEST> cd ..
  378. C:\TEMP>
  379.  
  380. [ Now in a directory two levels deep the first '....\' is interpreted as '..'
  381.   while the second one gives an error. The first '..' is interpreted as '.'
  382.   while the second one works as normal. ]
  383.  
  384. C:\TEMP> cd ....\
  385. C:\TEMP> cd TEST
  386. The system cannot find the path specified.
  387. C:\TEMP> cd .
  388. C:\TEMP> cd TEST
  389. C:\TEMP\TEST>
  390.  
  391. [ It seems that '....\' also breaks trying to cd to subdirectories. ]
  392.  
  393. The '....\' problems seems to appear for any such string with N+4 dots
  394. followed by a slash. I can only guess on the many other ways they
  395. may try to interpret pathnames.
  396.  
  397. --
  398. Aleph One / aleph1@underground.org
  399. http://underground.org/
  400. KeyID 1024/948FD6B5
  401. Fingerprint EE C9 E8 AA CB AF 09 61  8C 39 EA 47 A8 6A B8 01
  402.  
  403. ---------------------------------------------------------------------------
  404.  
  405. Date: Fri, 22 Jan 1999 18:46:53 -0000
  406. From: Ian O'Friel <genius@GLASGOW.CROSSWINDS.NET>
  407. To: BUGTRAQ@netspace.org
  408. Subject: Re: Personal Web Server
  409.  
  410. I'm not sure if this point has been raised before now, but with the recent
  411. issues containing about /....../ and so on, Shares are accessible via
  412. personal Web Server.
  413.  
  414. For Example, I tried sharing my WinZip Directory as 'Test' and strangely
  415. enough http://127.0.0.1/Test/ brought up the WinZip Directory.
  416.  
  417. Does anyone know of problems caused by this ?
  418.  
  419. Ian O'Friel
  420.  
  421.  
  422.