Redefinir inetpub

Este script restaura a pasta %SYSTEMDRIVE%\inetpub e suas permissões de segurança padrão, que são necessárias como mitigação para CVE-2025-21204 após a atualização do Windows KB5055523.

Destina-se a utilizadores que possam ter eliminado esta pasta antes de compreender o seu propósito de segurança e desejam restaurá-la sem necessidade de ativar/desativar funcionalidades do IIS.

O que este script faz

1. Cria o diretório %SYSTEMDRIVE%\inetpub se ele não existir.
2. Aplica as permissões padrão da Lista de Controlo de Acesso (ACL) necessárias para a mitigação de segurança à própria pasta inetpub.
3. Define o proprietário da pasta inetpub como NT AUTHORITY\SYSTEM.

Pré-requisitos

• São necessários privilégios de Administrador para modificar pastas e permissões do sistema.

Instruções de Utilização

Escolha um dos métodos seguintes. Todos exigem uma janela do PowerShell elevada (como Administrador).

Método 1: Execução Rápida (Pausa na Conclusão)

Este comando descarrega e executa o script imediatamente. O script irá pausar para confirmação após a conclusão por defeito.

powershell -ExecutionPolicy Bypass -Command "irm 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1' | iex"

Método 2: Execução Rápida (Sem Pausa)

Este comando descarrega e executa o script imediatamente, utilizando o parâmetro -NoWait para evitar que o script pause após a conclusão.

powershell -ExecutionPolicy Bypass -Command "& ([ScriptBlock]::Create((irm 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1'))) -NoWait"

• -NoWait: Um parâmetro de tipo switch passado ao script para suprimir o aviso final "Prima qualquer tecla para continuar...".

Método 3: Execução Manual

1. Descarregar o script:
   root@kitploit:~

   $scriptPath = Join-Path $env:TEMP "Reset-inetpub.ps1"
   Invoke-WebRequest -Uri 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1' -OutFile $scriptPath
   

2. (Opcional) Rever o script:
   root@kitploit:~

   # Abrir no Notepad
   notepad $scriptPath
   

3. Executar o script local:
   root@kitploit:~

   # Execução padrão (irá pausar no final)
   powershell -ExecutionPolicy Bypass -File $scriptPath
   
   # -- OU -- #
   
   #Execução sem a pausa final
   powershell -ExecutionPolicy Bypass -File $scriptPath -NoWait
   

4. (Opcional) Limpar o script descarregado:
   root@kitploit:~

   Remove-Item -Path $scriptPath -Force
   

Âmbito e Limitações

Por favor, esteja ciente do seguinte:

• Apenas a Pasta Principal: O script tem como alvo principalmente as permissões e a propriedade da própria pasta %SYSTEMDRIVE%\inetpub. As definições de herança padrão são aplicadas.
• Aviso de Conteúdo Existente: Se o diretório inetpub existir e contiver ficheiros ou subpastas, o script irá:
  • Avisá-lo de que o diretório não está vazio.
  • Prosseguir para aplicar as permissões padrão à pasta inetpub.
  • Aplicar a alteração de propriedade (NT AUTHORITY\SYSTEM) apenas à própria pasta inetpub, não recursivamente. Isto evita potencialmente substituir permissões personalizadas em subconteúdos existentes.

Detalhes das Permissões

O script visa aplicar as seguintes permissões, capturadas de um diretório inetpub limpo criado pela atualização do Windows relevante.

Exportação icacls: Consulte acls.txt para a string SDDL bruta utilizada pelo script.

Resumo de permissões icacls (exemplo da unidade C:):

C:\inetpub NT SERVICE\TrustedInstaller:(F)
           NT SERVICE\TrustedInstaller:(OI)(CI)(IO)(F)
           NT AUTHORITY\SYSTEM:(F)
           NT AUTHORITY\SYSTEM:(OI)(CI)(IO)(F)
           BUILTIN\Administrators:(F)
           BUILTIN\Administrators:(OI)(CI)(IO)(F)
           BUILTIN\Users:(RX)
           BUILTIN\Users:(OI)(CI)(IO)(GR,GE)
           CREATOR OWNER:(OI)(CI)(IO)(F)

(Nota: O script determina dinamicamente a letra da unidade correta.)