### IIS配置文件后门的方法详解
#### 一、引言
互联网信息服务（Internet Information Services，简称IIS）是微软公司开发的一款Web服务器组件，广泛应用于Windows操作系统中。随着IIS应用的普及，针对其安全性的研究也日益深入。本文旨在探讨如何利用IIS配置文件MetaBase.bin的特性建立后门，以便于网络管理员了解潜在的安全风险，并采取相应的防范措施。
#### 二、IIS配置文件MetaBase.bin简介
MetaBase.bin是IIS的核心配置文件之一，存储了IIS服务的所有配置信息，包括但不限于HTTP服务、FTP服务和SMTP服务的配置。它位于`%SystemRoot%\system32\inetsrv`目录下，对于系统管理员来说非常重要。管理员可以通过“Internet服务管理器”或者使用脚本`adsutil.vbs`来对MetaBase.bin进行操作。
MetaBase的结构与注册表类似，采用树形结构组织数据，包括键、值、项等概念。在IIS 3.x和Personal Web Server (PWS)中，MetaBase的内容实际存储在注册表中。MetaBase有两个主键：`LM`和`Schema`。
- **Schema**：保存了系统默认的一些配置信息，通常不需要更改。即使是专业的管理员也很少直接修改这部分内容，因为一旦修改错误可能会导致系统不稳定甚至崩溃。
- **LM**：包含IIS的具体服务配置信息，如HTTP服务、FTP服务、SMTP服务等。其中`LM/W3SVC/`是HTTP服务的配置信息，是构建后门时关注的重点。
#### 三、关键配置选项
为了更好地理解如何利用MetaBase.bin构建后门，我们需要熟悉以下几个关键配置选项：
1. **InProcessIsapiApps**：这是一个数组，用于指定哪些ISAPI（Internet Server Application Programming Interface）扩展应该以进程内的方式启动。这些ISAPI将由`inetinfo.exe`直接启动，具有`localsystem`权限。而在数组之外的ISAPI则由`svchost.exe`派生的`dllhost.exe`进程启动，默认运行身份是`IWAM_NAME`。
2. **ScriptMaps**：脚本映射，用于指定特定扩展名的文件应交给哪个ISAPI执行。值得注意的是，设定ScriptMaps的目录不一定需要真实存在，只要在MetaBase中某个HTTP实例的`root`键下创建了相应子键，对该子键同名目录的HTTP请求会被视为合法，并交由映射的ISAPI处理。
3. **CreateProcessAsUser**：在某个目录下设置此值为0，意味着该目录下的应用程序将以`localsystem`权限启动。
4. **AccessWrite**：决定某个目录是否允许写入操作，即是否支持WEBDAV的`PUT`方法。
5. **AccessExecute**：决定某个目录是否允许执行应用程序。
#### 四、构建后门的技术细节
根据上述介绍的关键配置选项，我们可以制定以下策略来构建后门：
1. **创建特定扩展名的脚本映射**：创建一个特定扩展名的脚本映射，并将其指向预先准备好的ISAPI。然后将该ISAPI添加到`InProcessIsapiApps`列表中。这样一来，当向服务器请求带有该扩展名的文件时，将会在服务器上以`localsystem`权限执行该ISAPI，而且所请求的文件不必真正存在。
2. **隐藏技术**：由于并不一定需要创建真实的目录来设置`ScriptMaps`，因此可以仅仅创建一个键，并给这个键加上`ScriptMaps`。这样，在“Internet服务管理器”中将无法查看到这个目录及其`ScriptMaps`设置。
3. **使用特殊字符**：为了避免通过`adsutil.vbs`命令暴露后门的存在，可以使用特殊字符（例如0x08，即Backspace键对应的16进制值）作为键值的一部分。这种字符在控制台上的显示效果是向左删除一个字符，实际上可以用来隐藏某些关键信息。
#### 五、案例分析与防范措施
通过上述技术手段构建的后门，能够在一定程度上隐藏自身，使普通管理员难以察觉。然而，即便是最隐秘的后门也有其漏洞，专业管理员仍可通过一系列技术手段对其进行检测和清理。
1. **定期审计MetaBase.bin**：定期使用`adsutil.vbs`命令对MetaBase.bin进行审计，特别是关注那些看起来不寻常或未记录的变化。
2. **强化IIS安全性**：确保IIS的安全性设置处于较高水平，限制不必要的ISAPI扩展权限，避免给予过高权限。
3. **使用第三方安全工具**：借助第三方安全工具增强系统的安全性，及时发现并消除潜在威胁。
4. **教育与培训**：提高员工的安全意识，定期进行网络安全培训，确保所有人都了解最新的安全威胁和技术趋势。
#### 六、结论
虽然构建后门是一种不道德且非法的行为，但了解这些技术可以帮助网络安全专家更好地防御潜在攻击。通过对IIS配置文件MetaBase.bin的理解，我们可以更加深入地认识到IIS系统的内部运作机制，从而制定出更为有效的安全策略。
