目录研究目标  1IIS介绍及内置版本总结  1DOS下的8.3命名规则  28.3规则由来  2查看短文件名  2基本命名格式  3基本转换规则  3扩展转换规则  3深入符号转换  3不适用的规则  4短文件名测试实例  4前缀处理  4后缀处理  4前缀后缀同时处理  4空格处理  5点号处理  5加号处理  5相同性质的类似符号  6不处理的字符  6IIS短文件名漏洞  6IIS短文件名修复方案  7IIS短文件名检测工具  7IIS异常短文件命名问题  8同名数量过多导致异常  8文件名过短异常  9不同IIS版本短文件漏洞测试  9测试文件列表  9测试方法命令  10测试Win2008 IIS7.0 ASP.NET关闭  10测试Win2008 IIS7.0 ASP.NET开启  11测试Win10 IIS10.0 ASP.NET状态未知  13测试Win2003 IIS6.0 ASP.NET未安装  14不同版本IIS测试结论  16其他不确定的结论  16衍生 不同服务器的漏洞检测  16衍生 短文件名直接访问测试  16通配符在短文件名猜测中的扩展  17通配符在短文件名猜解中的实际利用  18IIS短文件名推测长文件名  20中文短文件名的猜测问题  20部分后缀名文件无法访问  21参考  22

1 了解IIS短文件名漏洞原理2 不同场景下的短文件检测问题3 短文件名检测工具4 根据短文件名猜解实际文件名

IIS 1.0，Windows NT 3.51  IIS 3.0，Windows NT 4.0 Service Pack 2  IIS 4.0，Windows NT 4.0选项包 IIS 5.0，Windows 2000  IIS 5.1，Windows XP Professional和Windows XP Media Center Edition  IIS 6.0，Windows Server 2003和Windows XP Professional x64 Edition  IIS 7.0，Windows Server 2008和Windows Vista  IIS 7.5，Windows 7（远程启用<customErrors>或没有web.config）IIS 7.5，Windows 2008（经典管道模式） IIS 8.0，Windows 8, Windows Server 2012IIS 8.5，Windows 8.1,Windows Server 2012 R2IIS 10.0，Windows 10, Windows Server 2016

【前6位文件名前缀】【~】【前缀出现次数】【.】【前3位后缀名】

1、所有小写字母均转换成大写字母2、前缀超过8位字符必定生成短文件名，3、后缀超过3位字符必定生成短文件名4、文件夹名与文件名适用相同的规则, 即使文件夹名中的后缀没有实际意义。

1、如果文件名包含某些特殊字符【如空格】，不论长度都会生成短文件2、命名规则适用与中文文件及目录情景，一个中文代表两个字符

A、包含[' ', '+', ',', '.', ';', '=', '[', ']'] 等特殊字符的名称必定生成短文件名，无任何长度要求。
B、短文件名称中的特殊字符[' ','.']会被剔除，再计算前六位字符
C、短文件名称中的特殊字符['+', ',', '.', ';', '=', '[', ']']会被替换为[_]后，再计算前六位字符。
D、对使用多个"．"隔开的长文件名，取最后的[ . ]号后为扩展名,前为文件名。

1、  删除空格后的长文件名，若长度大于8个字符，则取前6个字符，后两个字符以"~#"代替，若个数超过10个则取前5个字符，后三个字符以"~##"代替，若个数大于100也依此规则替换。其中"#"为数字，是相同短文件名的出现次数顺延。【大概不适用，实际场景下多个同名文件会使用数字计算生成。】
2、对使用多个"．"隔开的长文件名，取最左端一段转换为短文件名，取最右一段前三个字符为扩展名。【应该不适用，实际场景下，文件名中的[.]号会被直接去除。】

1234567.txt          无短文件名12345678.txt          无短文件名123456789.txt        123456~1.TXT123456789          123456~1

abcdef.txtsss          ABCDEF~1.TXTabcdef.txt          无短文件名

abc12345678.txt           ABC123~1.TXTabc12345678.txtt        ABC123~1.TXTabc12345678.tx         ABC123~1.TX  abc123456789.tx       ABC123~2.TX

abc .txt                  ABC~1.TXTabc        .txt              ABC~2.TXTabc 12345678.txt                   ABC123~1.TXTabc 123 456.txt              ABC123~2.TXT 、abc         xxxxxxxxxxxxxxxxxxxxxx1.txt    ABCXXX~2.TXT

1.a.s.p.x.aspx      1ASPX~1.ASP  1.a.s.p.x.a         1ASPX~1.A    

abc+.txt          ABC_~1.TXT   abc+123+456.txt      ABC_12~1.TXTabc++++12345678.txt  ABC___~1.TXT

123 .txt    123~1.TXT123..txt    123~1.TXT

123+.txt    123_~1.TXT123,.txt    123_~1.TXT123;.txt    123_~1.TXT123=.txt    123_~1.TXT123[.txt    123_~1.TXT123].txt    123_~1.TXT

[email protected]          无短文件名abc-.txt          无短文件名abc#.txt          无短文件名

关闭该功能：fsutil behavior set disable8dot3 1

功能是否开启：fsutil 8dot3name query关闭该功能：fsutil 8dot3name set 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem，修改NtfsDisable8dot3NameCreation项值为 1。

https://github.com/irsdl/IIS-ShortName-Scanner

https://github.com/bitquark/shortscan

https://github.com/VMsec/iisShortNameScaner

reg query "HKLM\Software\Microsoft\NET FrameworkSetup\NDP" /s /v version | findstr /i version | sort /+26 /r

IIS版本: 7.0.0.0  IIS路径: C:\inetpub\wwwroot  ASP.NET状态：已关闭

IIS6.0 无ASP.NET环境 可用 DEBUG 、OPTIONS和TRACE方法 

IIS7.0、IIS10开启及关闭ASP.NET环境 可用 OPTIONS TRACE  

总结：在IIS所有常见版本，通过OPTIONS和TRACE方法都可以猜解成功。

其他不确定的结论:

1、IIS1.0 - IIS6.0有ASP.NET环境，可用GET方法探测  【未验证】

2、IIS使用.Net4时不受影响（IIS7.0版本默认有.NET4） 【不适用】

IIS服务器   存在Apche服务器  不存在tomcat服务器  不存在

结论：短文件名漏洞仅存在与IIS服务器情况

IIS服务 不支持    (ASP.NET开启、关闭相同)Apche服务器  支持Tomcat服务器  不支持

结论：Apache下可通过短文件名直接访问服务器文件

测试环境：IIS7.0

FILE_1~1.TXT  存在的短文件名

FILE_N~1.TXT  不存在的短文件名

IIS7环境DEBUG方法不支持通配符探测

IIS7环境GET、HEAD方法不支持通配符探测

IIS7环境 OPTIONS方法支持通配符 猜测成功返回404，猜测失败返回200

Trace方法支持通配符猜测猜测成功返回404，猜测失败返回的是501

通配符扫描结论：

1、在IIS猜测短文件名的过程中，可以使用通配符"*"和"?"。

攻击者结合使用通配符“*”和“?”辅助发送TRACE和OPTIONS等请求到IIS服务器，能够快速检测出存在的短文件名。

猜测思路：

1、猜测/*~1*/是否存在2、遍历猜测/[A-Z 1-9 符号]*~1*/是否存在3、猜测/[A-Z 1-9 符号][ 1-5个?]~1*/。4、再逐步猜测每个字符....

IIS短文件猜解过程(参考)

注意：经过测试，通配符使用过程中，路径不加[/.aspx]后缀不影响扫描

配置无/.aspx后缀扫描

有无/.aspx后缀不影响探测

IIS由于安全原因不支持短文件名访问，需要继续猜测出长文件名才可以在IIS上进行访问。

基本情况推断方案：（不建议）

方案一：对未猜测完毕的字符继续进行Fuzz

使用dirbuster、burpsuite等工具即可

方案一：通过字典进行对比：（建议|未完全实现）

1建立一个常见的目录文件单词表。

2判断字典中是否有以短文件作为子串的单词路径,使用高度匹配的单词路径进行访问测试。

1个中文字符相当于2个英文字符，故超过4个中文字会产生短文件名。

现有工具不支持爆破中文文件和中文文件夹的短文件名。

字符对应URL编码:

中文中文中文.txt ==> %E4%B8%AD%E6%96%87%E4%B8%AD%E6%96%87%E4%B8%AD%E6%96%87.txt%E4%B8%AD  ==> 中%E6%96%87 ==> 文%3f ==> ?%7e ==> ~

中文文件访问

中文文件名可猜测,但是更复杂

结论：

每个中文的是一个整体，需要当作一个字符看待，爆破也只能一个个中文的爆破。 因此爆破难度比爆破字母数字的文件更复杂.

不可访问下载的后缀名：.conf、.sql、.config. 【未全面测试】

浅析Windows短文件名漏洞https://mp.weixin.qq.com/s/RLWXOHh_8cuudGM5UD8SEA
由于本文时间跨度较大, 更多参考文章一时无法找齐, 未详细描述.

在学习本文技术或工具使用前，请您务必审慎阅读、充分理解各条款内容。

1、本团队分享的任何类型技术、工具文章等文章仅面向合法授权的企业安全建设行为与个人学习行为，严禁任何组织或个人使用本团队技术或工具进行非法活动。

2、在使用本文相关工具及技术进行测试时，您应确保该行为符合当地的法律法规，并且已经取得了足够的授权。如您仅需要测试技术或工具的可行性，建议请自行搭建靶机环境，请勿对非授权目标进行扫描。

3、如您在使用本工具的过程中存在任何非法行为，您需自行承担相应后果，我们将不承担任何法律及连带责任。

4、本团队目前未发起任何对外公开培训项目和其他对外收费项目，严禁任何组织或个人使用本团队名义进行非法盈利。

5、本团队所有分享工具及技术文章，严禁不经过授权的公开分享。

如果发现上述禁止行为，我们将保留追究您法律责任的权利，并由您自身承担由禁止行为造成的任何后果。

END

感谢大哥们的对NOVASEC的支持点赞和关注

加入我们与萌新一起成长吧！

本团队任何技术及文件仅用于学习分享，请勿用于任何违法活动，感谢大家的支持！！