Reset inetpub

Dieses Skript stellt den Ordner %SYSTEMDRIVE%\inetpub und seine standardmäßigen Sicherheitsberechtigungen wieder her, die als Reaktion auf CVE-2025-21204 nach dem Windows-Update KB5055523 erforderlich sind.

Es richtet sich an Benutzer, die diesen Ordner möglicherweise gelöscht haben, bevor sie seinen Sicherheitszweck verstanden haben, und ihn wiederherstellen möchten, ohne IIS-Funktionen aktivieren/deaktivieren zu müssen.

Was dieses Skript tut

1. Erstellt das Verzeichnis %SYSTEMDRIVE%\inetpub, falls es nicht existiert.
2. Wendet die standardmäßigen Zugriffssteuerungslisten (ACL)-Berechtigungen, die für die Sicherheitsminderung erforderlich sind, auf den Ordner inetpub selbst an.
3. Setzt den Besitzer des Ordners inetpub auf NT AUTHORITY\SYSTEM.

Voraussetzungen

• Administratorrechte sind erforderlich, um Systemordner und -berechtigungen zu ändern.

Verwendungshinweise

Wählen Sie eine der folgenden Methoden. Alle erfordern ein erhöhtes (Administrator-) PowerShell-Fenster.

Methode 1: Schnellausführung (Pause bei Abschluss)

Dieser Befehl lädt das Skript herunter und führt es sofort aus. Das Skript wird standardmäßig bei Abschluss zur Bestätigung pausieren.

powershell -ExecutionPolicy Bypass -Command "irm 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1' | iex"

Methode 2: Schnellausführung (Keine Pause)

Dieser Befehl lädt das Skript herunter und führt es sofort aus, wobei der Schalter -NoWait verwendet wird, um zu verhindern, dass das Skript bei Abschluss pausiert.

powershell -ExecutionPolicy Bypass -Command "& ([ScriptBlock]::Create((irm 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1'))) -NoWait"

• -NoWait: Ein Schalterparameter, der an das Skript übergeben wird, um die abschließende Eingabeaufforderung Drücken Sie eine beliebige Taste, um fortzufahren... zu unterdrücken.

Methode 3: Manuelle Ausführung

1. Skript herunterladen:

   $scriptPath = Join-Path $env:TEMP "Reset-inetpub.ps1"
   Invoke-WebRequest -Uri 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1' -OutFile $scriptPath
   

2. (Optional) Skript überprüfen:

   # In Notepad öffnen
   notepad $scriptPath
   

3. Lokales Skript ausführen:

   # Standardausführung (wird am Ende pausieren)
   powershell -ExecutionPolicy Bypass -File $scriptPath
   
   # -- ODER -- #
   
   #Ausführung ohne die abschließende Pause
   powershell -ExecutionPolicy Bypass -File $scriptPath -NoWait
   

4. (Optional) Heruntergeladenes Skript bereinigen:

   Remove-Item -Path $scriptPath -Force
   

---

Umfang und Einschränkungen

Bitte beachten Sie Folgendes:

• Nur übergeordneter Ordner: Das Skript zielt hauptsächlich auf die Berechtigungen und den Besitzer des Ordners %SYSTEMDRIVE%\inetpub selbst ab. Es werden Standardvererbungseinstellungen angewendet.
• Warnung bei vorhandenem Inhalt: Wenn das Verzeichnis inetpub existiert und Dateien oder Unterordner enthält, wird das Skript:
  • Sie warnen, dass das Verzeichnis nicht leer ist.
  • Die Standardberechtigungen auf den Ordner inetpub anwenden.
  • Die Besitzänderung (NT AUTHORITY\SYSTEM) nur auf den Ordner inetpub selbst anwenden, nicht rekursiv. Dies vermeidet, dass benutzerdefinierte Berechtigungen für vorhandene Unterinhalte überschrieben werden.

Berechtigungsdetails

Das Skript versucht, die folgenden Berechtigungen anzuwenden, die von einem sauberen, durch das entsprechende Windows-Update erstellten inetpub-Verzeichnis erfasst wurden.

icacls-Export: Siehe acls.txt für die rohe SDDL-Zeichenfolge, die vom Skript verwendet wird.

icacls-Berechtigungsübersicht (Beispiel von Laufwerk C:):

C:\inetpub NT SERVICE\TrustedInstaller:(F)
           NT SERVICE\TrustedInstaller:(OI)(CI)(IO)(F)
           NT AUTHORITY\SYSTEM:(F)
           NT AUTHORITY\SYSTEM:(OI)(CI)(IO)(F)
           BUILTIN\Administrators:(F)
           BUILTIN\Administrators:(OI)(CI)(IO)(F)
           BUILTIN\Users:(RX)
           BUILTIN\Users:(OI)(CI)(IO)(GR,GE)
           CREATOR OWNER:(OI)(CI)(IO)(F)

(Hinweis: Das Skript ermittelt dynamisch den korrekten Laufwerksbuchstaben.)