Reset inetpub

このスクリプトは、KB5055523 Windows 更新プログラム後に必要となる CVE-2025-21204 の緩和策として、%SYSTEMDRIVE%\inetpub フォルダとその既定のセキュリティ権限を復元します。

これは、このフォルダのセキュリティ上の目的を理解する前に削除してしまい、IIS 機能を有効/無効にすることなく復元したいユーザーを対象としています。

このスクリプトの機能

%SYSTEMDRIVE%\inetpub ディレクトリが存在しない場合は作成します。
セキュリティ緩和策に必要な既定のアクセス制御リスト (ACL) 権限を、inetpub フォルダ自体に適用します。
inetpub フォルダの所有者を NT AUTHORITY\SYSTEM に設定します。

前提条件

システムフォルダと権限を変更するには、管理者特権が必要です。

使用手順

以下のいずれかの方法を1つ選択してください。すべて管理者 (昇格) PowerShell ウィンドウが必要です。

方法 1: クイック実行 (完了時に一時停止)

このコマンドはスクリプトをダウンロードしてすぐに実行します。スクリプトは既定で完了時に確認のため一時停止します。

powershell -ExecutionPolicy Bypass -Command "irm 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1' | iex"

方法 2: クイック実行 (一時停止なし)

このコマンドはスクリプトをダウンロードしてすぐに実行し、-NoWait スイッチを使用してスクリプトが完了時に一時停止しないようにします。

powershell -ExecutionPolicy Bypass -Command "& ([ScriptBlock]::Create((irm 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1'))) -NoWait"

-NoWait: スクリプトに渡されるスイッチパラメーターで、最後の「続行するには任意のキーを押してください...」プロンプトを抑制します。

方法 3: 手動実行

スクリプトをダウンロードする:

$scriptPath = Join-Path $env:TEMP "Reset-inetpub.ps1"
Invoke-WebRequest -Uri 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1' -OutFile $scriptPath

(任意) スクリプトを確認する:
```
# Open in Notepad
notepad $scriptPath
```

ローカルスクリプトを実行する:

# Standard execution (will pause at the end)
powershell -ExecutionPolicy Bypass -File $scriptPath

# -- OR -- #

#Execution without the final pause
powershell -ExecutionPolicy Bypass -File $scriptPath -NoWait

(任意) ダウンロードしたスクリプトを削除する:
```
Remove-Item -Path $scriptPath -Force
```

適用範囲と制限事項

次の点にご注意ください:

親フォルダのみ: このスクリプトは主に %SYSTEMDRIVE%\inetpub フォルダ自体の権限と所有権を対象とします。既定の継承設定が適用されます。
既存コンテンツの警告: inetpub ディレクトリが存在し、ファイルまたはサブフォルダーが含まれている場合、スクリプトは次の動作を行います:
- ディレクトリが空でないことを警告します。
- 既定の権限を inetpub フォルダに適用します。
- 所有権の変更 (NT AUTHORITY\SYSTEM) を inetpub フォルダ自体にのみ適用し、再帰的には適用しません。これにより、既存のサブコンテンツに対するカスタム権限が上書きされる可能性を回避します。

権限の詳細

このスクリプトは、該当する Windows 更新プログラムによって作成されたクリーンな inetpub ディレクトリから取得した、次の権限を適用することを目的としています。

icacls エクスポート: スクリプトで使用される生の SDDL 文字列については、acls.txt を参照してください。

icacls 権限の要約 (C: ドライブの例):

C:\inetpub NT SERVICE\TrustedInstaller:(F)
           NT SERVICE\TrustedInstaller:(OI)(CI)(IO)(F)
           NT AUTHORITY\SYSTEM:(F)
           NT AUTHORITY\SYSTEM:(OI)(CI)(IO)(F)
           BUILTIN\Administrators:(F)
           BUILTIN\Administrators:(OI)(CI)(IO)(F)
           BUILTIN\Users:(RX)
           BUILTIN\Users:(OI)(CI)(IO)(GR,GE)
           CREATOR OWNER:(OI)(CI)(IO)(F)

(注: スクリプトは正しいドライブ文字を動的に決定します。)

Reset-inetpub

人気