[PHP-IIS6-EXEC] Shell opdrachten in W2k3 werkt niet.

[Luppie]

Na veel zoeken op tweakers / google / PHP fora ben ik er achter gekomen dat er op deze aardkloot heel veel mensen rondlopen die de combinatie Windows Server 2003 / IIS6 / PHP (ISAPI mode) niet goed aan de praat kunnen krijgen.

Zelf heb ik het gedeeltelijk aan de praat gekregen, ik ben al in staat om via een exec commando in PHP een ping uit te laten voeren en de output netjes getoond krijgt.

Mijn PHP config test staat op http://status1.party-place.nl/test.php

Echter, ik gebruik nu CACTI (http://www.raxnet.net/products/cacti/) en deze maakt weer gebruik van RRDTOOL (http://people.ee.ethz.ch/~oetiker/webtools/rrdtool/) hier ligt nu het probleem RRDTOOL wordt niet uitgevoerd als een PHP het aanroept.

Na veel gezocht te hebben blijkt cmd.exe hiervan de boosdoender te zijn, hierop heb ik auditing aangezet om te kijken wie of welk process cmd.exe aanroept als ik het script uitvoer. In eerste instantie werd cmd.exe aangeroepen door IUSR_Computernaam. Deze heb ik rechten gegeven op cmd.exe
Vervolgens nogmaals het script uitgevoerd en auditing gaf aan dat cmd.exe werd aangesproken door NETWORK SERVICE, deze heb ik ook rechten gegeven op cmd.exe maar telkens als ik het script uitvoer blijft NETWORK SERVICE cmd.exe aanspreken en krijg ik in mijn auditing bij het aanspreken van object cmd.exe failed.

Zoals ik al eerder zei werkt ping.exe wel, maar als ik i.p.v. ping 10.10.10.10 de volgende opdracht geef : cmd /C ping 10.10.10.10 dan werkt het weer niet. (omdat cmd.exe aangeroepen wordt)

Windows 2003 is extra beveiligd, maar is er ook een beveiliging die voorkomt (wat voor rechten dan ook) dat IIS cmd.exe kan uitvoeren ?

Zijn er hier mensen die dit probleem hebben 'gehad' en precies weten hoe dit opgelost kan worden. Of zijn er mensen die ook CACTI gebruiken op een soortgelijke omgeving ?

P.S. Gelieve dit draadje niet gebruiken om te spammen "Moet je maar apache nemen" "Waarom geen Linux" "Ik heb een LAMP installatie en het werkt perfect"

Dit draadje moet de oplossing worden om PHP volledig functioneel op IIS6 te laten werken in ASAPI mode (niet CGI) en als er evt. een FaQ van moet komen dan zal ik die wel schrijven.

Soortgelijk draadje -> [rml][ ImageMagick] Windows 2003[/rml]
(De daar voorgestelde oplossing werkt niet op mijn configuratie)

[ Voor 5% gewijzigd door Luppie op 14-01-2004 15:14 ]

[Pogostokje]

Cobra_Lup schreef op 14 januari 2004 @ 13:49:
het script uitvoer. In eerste instantie werd cmd.exe aangeroepen door IUSR_Computernaam. Deze heb ik rechten gegeven op cmd.exe

Ik kan je niet het eindantwoord geven, maar ik wil je wel waarschuwen voor wat je hierboven beschrijft.

De IUSR is juist een highly restricted gebruiker, omdat een webserver alleen web moet serven en vooral niet andere zaken die je als systeem beheerder niet wilt. Jij geeft nu de IUSR rechten om CMD uit te voeren. Dat betekent dat je systeem dus een behoorlijk stuk open staat en de eerst volgende IIS exploit bij jou veel grotere gevolgen zou kunnen hebben. Nog steeds draait cmd.exe dan onder IUSR rechten, maar die mag meer dan je zou vermoeden.

[whoami]

Rechten-problemen horen niet thuis in P&W

P&W -> WOS

[Luppie]

*************** KICK **********************

[Verwijderd]

php isapi is nog steeds beta. daarbuiten zal het gemaakt zijn voor iis5.
verder lijkt het er op dat je veel te weinig rechten hebt... zoek ff op support.microsoft.com voor de benodigde rechten om iis goed te laten functioneren.

[ Voor 52% gewijzigd door Verwijderd op 16-01-2004 11:23 ]

[Luppie]

Opgelost, de rechten stonden wel al goed.
Echter mijn websites staan op de D:\ Partitie en php wil graag daar ook een \usr\MIB dir hebben met de MIB's er in.

Voor PHP onder IIS6 heb ik een goede tutorial gevonden:
[url]http://s92192454.onlinehome.us./PHP_on_windows_under_IIS.html[/url]

[ Voor 34% gewijzigd door Luppie op 16-01-2004 13:49 ]

[Fire69]

Die guide heb ik ook gevolgd, maar toch wil PHP nog steeds niet meewerken.

[Verwijderd]

ik heb hetzelfde probleem, maar mijn site staat gewoon op c:\root\httproot
Kan je me misschien vertellen welke rechten je waatrop moet geven om exec() te kunnen uitvoeren?

De rest van PHP werkt wel gewoon met de ISAPI module op IIS6 & win2k3

[Luppie]

Verwijderd schreef op 16 januari 2004 @ 14:14:
ik heb hetzelfde probleem, maar mijn site staat gewoon op c:\root\httproot
Kan je me misschien vertellen welke rechten je waatrop moet geven om exec() te kunnen uitvoeren?

De rest van PHP werkt wel gewoon met de ISAPI module op IIS6 & win2k3

Ik heb de IUSR_Computernaam , execute rechten gegeven, ook de applicatie die cmd moet uitvoeren zijn rechten op nodig.

[Verwijderd]

heel vaag, ik heb ze al die rechten gegeven maar exec(), shell_exec() en system() werken voor geen meter.
als ik een batch aanroep wil hij niet uitvoeren.
Ik heb zelfs de IUSR al bij administrators geprobeer, maar dit werkt ook niet...

[Luppie]

als je via een command prompt naar de PHP dir. browsed en dan PHP.exe uitvoerd, wat krijg je dan voor melding ?