Ripristina inetpub

Questo script ripristina la cartella %SYSTEMDRIVE%\inetpub e le relative autorizzazioni di sicurezza predefinite, necessarie come mitigazione per CVE-2025-21204 a seguito dell'aggiornamento Windows KB5055523.

È pensato per gli utenti che potrebbero aver eliminato questa cartella prima di comprenderne lo scopo di sicurezza e desiderano ripristinarla senza dover abilitare/disabilitare le funzionalità IIS.

Cosa fa questo script

1. Crea la directory %SYSTEMDRIVE%\inetpub se non esiste.
2. Applica le autorizzazioni predefinite dell'elenco di controllo di accesso (ACL) richieste per la mitigazione di sicurezza alla cartella inetpub stessa.
3. Imposta il proprietario della cartella inetpub su NT AUTHORITY\SYSTEM.

Prerequisiti

• Sono richiesti privilegi di amministratore per modificare cartelle e autorizzazioni di sistema.

Istruzioni per l'uso

Scegli uno dei seguenti metodi. Tutti richiedono una finestra PowerShell elevata (amministratore).

Metodo 1: Esecuzione rapida (pausa al termine)

Questo comando scarica ed esegue immediatamente lo script. Al termine, per impostazione predefinita lo script si metterà in pausa per la conferma.

powershell -ExecutionPolicy Bypass -Command "irm 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1' | iex"

Metodo 2: Esecuzione rapida (senza pausa)

Questo comando scarica ed esegue immediatamente lo script, utilizzando il parametro switch -NoWait per evitare che lo script si metta in pausa al termine.

powershell -ExecutionPolicy Bypass -Command "& ([ScriptBlock]::Create((irm 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1'))) -NoWait"

• -NoWait: parametro di tipo switch passato allo script per sopprimere il prompt finale "Premere un tasto per continuare...".

Metodo 3: Esecuzione manuale

1. Scarica lo script:
   root@kitploit:~

   $scriptPath = Join-Path $env:TEMP "Reset-inetpub.ps1"
   Invoke-WebRequest -Uri 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1' -OutFile $scriptPath
   

2. (Facoltativo) Controlla lo script:
   root@kitploit:~

   # Open in Notepad
   notepad $scriptPath
   

3. Esegui lo script locale:
   root@kitploit:~

   # Standard execution (will pause at the end)
   powershell -ExecutionPolicy Bypass -File $scriptPath
   
   # -- OR -- #
   
   #Execution without the final pause
   powershell -ExecutionPolicy Bypass -File $scriptPath -NoWait
   

4. (Facoltativo) Elimina lo script scaricato:
   root@kitploit:~

   Remove-Item -Path $scriptPath -Force
   

Ambito e limitazioni

Tieni presente quanto segue:

• Solo cartella padre: Lo script ha come obiettivo principale le autorizzazioni e la proprietà della cartella %SYSTEMDRIVE%\inetpub stessa. Vengono applicate le impostazioni di ereditarietà predefinite.
• Avviso su contenuto esistente: Se la directory inetpub esiste e contiene file o sottocartelle, lo script:
  • Ti avviserà che la directory non è vuota.
  • Procederà ad applicare le autorizzazioni predefinite alla cartella inetpub.
  • Applicherà la modifica della proprietà (NT AUTHORITY\SYSTEM) solo alla cartella inetpub stessa, non in modo ricorsivo. Questo evita di sovrascrivere potenzialmente autorizzazioni personalizzate su contenuti secondari esistenti.

Dettagli delle autorizzazioni

Lo script mira ad applicare le seguenti autorizzazioni, acquisite da una directory inetpub pulita creata dal relativo aggiornamento Windows.

Esportazione icacls: Vedi acls.txt per la stringa SDDL grezza utilizzata dallo script.

Riepilogo autorizzazioni icacls (esempio dall'unità C:):

C:\inetpub NT SERVICE\TrustedInstaller:(F)
           NT SERVICE\TrustedInstaller:(OI)(CI)(IO)(F)
           NT AUTHORITY\SYSTEM:(F)
           NT AUTHORITY\SYSTEM:(OI)(CI)(IO)(F)
           BUILTIN\Administrators:(F)
           BUILTIN\Administrators:(OI)(CI)(IO)(F)
           BUILTIN\Users:(RX)
           BUILTIN\Users:(OI)(CI)(IO)(GR,GE)
           CREATOR OWNER:(OI)(CI)(IO)(F)

(Nota: lo script determina dinamicamente la lettera dell'unità corretta.)