inetpub 초기화

이 스크립트는 KB5055523 Windows 업데이트 이후 CVE-2025-21204에 대한 완화 조치로 필요한 %SYSTEMDRIVE%\inetpub 폴더와 해당 기본 보안 권한을 복원합니다.

이 스크립트는 보안 목적을 이해하기 전에 이 폴더를 삭제한 사용자가 IIS 기능을 활성화/비활성화하지 않고도 이 폴더를 복원하려는 경우를 위한 것입니다.

이 스크립트가 수행하는 작업

1. %SYSTEMDRIVE%\inetpub 디렉터리가 없으면 생성합니다.
2. inetpub 폴더 자체에 보안 완화에 필요한 기본 ACL(액세스 제어 목록) 권한을 적용합니다.
3. inetpub 폴더의 소유자를 NT AUTHORITY\SYSTEM으로 설정합니다.

사전 요구 사항

• 시스템 폴더와 권한을 수정하려면 관리자 권한이 필요합니다.

사용 방법

다음 방법 중 하나를 선택하세요. 모든 방법에는 상승된(관리자) PowerShell 창이 필요합니다.

방법 1: 빠른 실행(완료 시 일시 정지)

이 명령은 스크립트를 즉시 다운로드하여 실행합니다. 스크립트는 기본적으로 완료 시 확인을 위해 일시 정지합니다.

powershell -ExecutionPolicy Bypass -Command "irm 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1' | iex"

방법 2: 빠른 실행(일시 정지 없음)

이 명령은 -NoWait 스위치를 사용하여 스크립트가 완료 시 일시 정지하지 않도록 하면서 스크립트를 즉시 다운로드하고 실행합니다.

powershell -ExecutionPolicy Bypass -Command "& ([ScriptBlock]::Create((irm 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1'))) -NoWait"

• -NoWait: 스크립트에 전달되는 스위치 매개변수로, 마지막 "Press any key to continue..." 프롬프트를 표시하지 않습니다.

방법 3: 수동 실행

1. 스크립트 다운로드:
   root@kitploit:~

   $scriptPath = Join-Path $env:TEMP "Reset-inetpub.ps1"
   Invoke-WebRequest -Uri 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1' -OutFile $scriptPath
   

2. (선택 사항) 스크립트 검토:
   root@kitploit:~

   # Open in Notepad
   notepad $scriptPath
   

3. 로컬 스크립트 실행:
   root@kitploit:~

   # Standard execution (will pause at the end)
   powershell -ExecutionPolicy Bypass -File $scriptPath
   
   # -- OR -- #
   
   #Execution without the final pause
   powershell -ExecutionPolicy Bypass -File $scriptPath -NoWait
   

4. (선택 사항) 다운로드한 스크립트 정리:
   root@kitploit:~

   Remove-Item -Path $scriptPath -Force
   

범위 및 제한 사항

다음 사항에 유의하세요:

• 상위 폴더만: 이 스크립트는 주로 %SYSTEMDRIVE%\inetpub 폴더 자체의 권한과 소유권을 대상으로 합니다. 기본 상속 설정이 적용됩니다.
• 기존 콘텐츠 경고: inetpub 디렉터리가 존재하고 파일이나 하위 폴더를 포함하는 경우 스크립트는 다음을 수행합니다.
  • 디렉터리가 비어 있지 않다고 경고합니다.
  • inetpub 폴더에 기본 권한을 계속 적용합니다.
  • 소유권 변경(NT AUTHORITY\SYSTEM)을 재귀적으로가 아니라 오직 inetpub 폴더 자체에만 적용합니다. 이렇게 하면 기존 하위 콘텐츠의 사용자 지정 권한을 덮어쓸 가능성을 피할 수 있습니다.

권한 세부 정보

이 스크립트는 관련 Windows 업데이트로 생성된 깨끗한 inetpub 디렉터리에서 캡처한 다음 권한을 적용하는 것을 목표로 합니다.

icacls 내보내기: 스크립트에서 사용하는 원시 SDDL 문자열은 acls.txt를 참조하세요.

icacls 권한 요약(C: 드라이브 예시):

C:\inetpub NT SERVICE\TrustedInstaller:(F)
           NT SERVICE\TrustedInstaller:(OI)(CI)(IO)(F)
           NT AUTHORITY\SYSTEM:(F)
           NT AUTHORITY\SYSTEM:(OI)(CI)(IO)(F)
           BUILTIN\Administrators:(F)
           BUILTIN\Administrators:(OI)(CI)(IO)(F)
           BUILTIN\Users:(RX)
           BUILTIN\Users:(OI)(CI)(IO)(GR,GE)
           CREATOR OWNER:(OI)(CI)(IO)(F)

(참고: 스크립트는 올바른 드라이브 문자를 동적으로 결정합니다.)