Restablecer inetpub

Este script restaura la carpeta %SYSTEMDRIVE%\inetpub y sus permisos de seguridad predeterminados, necesarios como mitigación para CVE-2025-21204 después de la actualización de Windows KB5055523.

Está destinado a usuarios que hayan eliminado esta carpeta sin comprender su propósito de seguridad y deseen restaurarla sin tener que habilitar/deshabilitar funciones de IIS.

Qué hace este script

1. Crea el directorio %SYSTEMDRIVE%\inetpub si no existe.
2. Aplica los permisos predeterminados de la Lista de Control de Acceso (ACL) requeridos para la mitigación de seguridad a la propia carpeta inetpub.
3. Establece el propietario de la carpeta inetpub como NT AUTHORITY\SYSTEM.

Requisitos previos

• Se requieren privilegios de Administrador para modificar carpetas y permisos del sistema.

Instrucciones de uso

Elija uno de los siguientes métodos. Todos requieren una ventana de PowerShell elevada (como Administrador).

Método 1: Ejecución rápida (Pausa al finalizar)

Este comando descarga y ejecuta el script inmediatamente. Por defecto, el script se pausará para confirmación al finalizar.

powershell -ExecutionPolicy Bypass -Command "irm 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1' | iex"

Método 2: Ejecución rápida (Sin pausa)

Este comando descarga y ejecuta el script inmediatamente, utilizando el modificador -NoWait para evitar que el script se pause al finalizar.

powershell -ExecutionPolicy Bypass -Command "& ([ScriptBlock]::Create((irm 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1'))) -NoWait"

• -NoWait: Un parámetro de modificador pasado al script para suprimir el mensaje final "Presione cualquier tecla para continuar...".

Método 3: Ejecución manual

1. Descargue el script:
   root@kitploit:~

   $scriptPath = Join-Path $env:TEMP "Reset-inetpub.ps1"
   Invoke-WebRequest -Uri 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1' -OutFile $scriptPath
   

2. (Opcional) Revise el script:
   root@kitploit:~

   # Abrir en el Bloc de notas
   notepad $scriptPath
   

3. Ejecute el script local:
   root@kitploit:~

   # Ejecución estándar (se pausará al final)
   powershell -ExecutionPolicy Bypass -File $scriptPath
   
   # -- O -- #
   
   # Ejecución sin la pausa final
   powershell -ExecutionPolicy Bypass -File $scriptPath -NoWait
   

4. (Opcional) Limpie el script descargado:
   root@kitploit:~

   Remove-Item -Path $scriptPath -Force
   

Alcance y limitaciones

Tenga en cuenta lo siguiente:

• Solo carpeta principal: El script se enfoca principalmente en los permisos y la propiedad de la propia carpeta %SYSTEMDRIVE%\inetpub. Se aplican configuraciones de herencia predeterminadas.
• Advertencia de contenido existente: Si el directorio inetpub existe y contiene archivos o subcarpetas, el script:
  • Le advertirá que el directorio no está vacío.
  • Procederá a aplicar los permisos predeterminados a la carpeta inetpub.
  • Aplicará el cambio de propiedad (NT AUTHORITY\SYSTEM) solo a la propia carpeta inetpub, no de forma recursiva. Esto evita sobrescribir potencialmente permisos personalizados en subcontenido existente.

Detalles de permisos

El script tiene como objetivo aplicar los siguientes permisos, capturados de un directorio inetpub limpio creado por la actualización de Windows correspondiente.

Exportación de icacls: Consulte acls.txt para ver la cadena SDDL sin procesar utilizada por el script.

Resumen de permisos de icacls (ejemplo desde la unidad C:):

C:\inetpub NT SERVICE\TrustedInstaller:(F)
           NT SERVICE\TrustedInstaller:(OI)(CI)(IO)(F)
           NT AUTHORITY\SYSTEM:(F)
           NT AUTHORITY\SYSTEM:(OI)(CI)(IO)(F)
           BUILTIN\Administrators:(F)
           BUILTIN\Administrators:(OI)(CI)(IO)(F)
           BUILTIN\Users:(RX)
           BUILTIN\Users:(OI)(CI)(IO)(GR,GE)
           CREATOR OWNER:(OI)(CI)(IO)(F)

(Nota: El script determina dinámicamente la letra de unidad correcta.)