Réinitialisation d'inetpub

Ce script restaure le dossier %SYSTEMDRIVE%\inetpub et ses permissions de sécurité par défaut, qui sont nécessaires comme mesure d'atténuation pour CVE-2025-21204 suite à la mise à jour Windows KB5055523.

Il est destiné aux utilisateurs qui ont peut-être supprimé ce dossier avant d'en comprendre l'utilité sécuritaire et souhaitent le restaurer sans avoir à activer/désactiver les fonctionnalités IIS.

Ce que fait ce script

1. Crée le répertoire %SYSTEMDRIVE%\inetpub s'il n'existe pas.
2. Applique les permissions de la liste de contrôle d'accès (ACL) par défaut requises pour l'atténuation de sécurité au dossier inetpub lui-même.
3. Définit le propriétaire du dossier inetpub sur NT AUTHORITY\SYSTEM.

Prérequis

• Des privilèges d'administrateur sont requis pour modifier les dossiers système et les permissions.

Instructions d'utilisation

Choisissez une des méthodes suivantes. Toutes nécessitent une fenêtre PowerShell élevée (Administrateur).

Méthode 1 : Exécution rapide (Pause à la fin)

Cette commande télécharge et exécute le script immédiatement. Par défaut, le script fera une pause pour confirmation à la fin.

powershell -ExecutionPolicy Bypass -Command "irm 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1' | iex"

Méthode 2 : Exécution rapide (Sans pause)

Cette commande télécharge et exécute le script immédiatement, en utilisant le commutateur -NoWait pour empêcher le script de faire une pause à la fin.

powershell -ExecutionPolicy Bypass -Command "& ([ScriptBlock]::Create((irm 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1'))) -NoWait"

• -NoWait : Paramètre de commutateur passé au script pour supprimer l'invite finale « Appuyez sur une touche pour continuer... ».

Méthode 3 : Exécution manuelle

1. Téléchargez le script :
   root@kitploit:~

   $scriptPath = Join-Path $env:TEMP "Reset-inetpub.ps1"
   Invoke-WebRequest -Uri 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1' -OutFile $scriptPath
   

2. (Facultatif) Examinez le script :
   root@kitploit:~

   # Open in Notepad
   notepad $scriptPath
   

3. Exécutez le script local :
   root@kitploit:~

   # Standard execution (will pause at the end)
   powershell -ExecutionPolicy Bypass -File $scriptPath
   
   # -- OR -- #
   
   #Execution without the final pause
   powershell -ExecutionPolicy Bypass -File $scriptPath -NoWait
   

4. (Facultatif) Nettoyez le script téléchargé :
   root@kitploit:~

   Remove-Item -Path $scriptPath -Force
   

Portée et limites

Veuillez noter ce qui suit :

• Dossier parent uniquement : Le script cible principalement les permissions et la propriété du dossier %SYSTEMDRIVE%\inetpub lui-même. Les paramètres d'héritage par défaut sont appliqués.
• Avertissement concernant le contenu existant : Si le répertoire inetpub existe et contient des fichiers ou des sous-dossiers, le script va :
  • Vous avertir que le répertoire n'est pas vide.
  • Procéder à l'application des permissions par défaut au dossier inetpub.
  • Appliquer le changement de propriétaire (NT AUTHORITY\SYSTEM) uniquement au dossier inetpub lui-même, pas récursivement. Cela évite de potentiellement écraser des permissions personnalisées sur le sous-contenu existant.

Détails des permissions

Le script vise à appliquer les permissions suivantes, capturées depuis un répertoire inetpub vierge créé par la mise à jour Windows concernée.

Export icacls : Voir acls.txt pour la chaîne SDDL brute utilisée par le script.

Résumé des permissions icacls (exemple depuis le lecteur C:) :

C:\inetpub NT SERVICE\TrustedInstaller:(F)
           NT SERVICE\TrustedInstaller:(OI)(CI)(IO)(F)
           NT AUTHORITY\SYSTEM:(F)
           NT AUTHORITY\SYSTEM:(OI)(CI)(IO)(F)
           BUILTIN\Administrators:(F)
           BUILTIN\Administrators:(OI)(CI)(IO)(F)
           BUILTIN\Users:(RX)
           BUILTIN\Users:(OI)(CI)(IO)(GR,GE)
           CREATOR OWNER:(OI)(CI)(IO)(F)

(Remarque : Le script détermine dynamiquement la lettre de lecteur correcte.)