Сброс inetpub

Этот скрипт восстанавливает папку %SYSTEMDRIVE%\inetpub и её разрешения безопасности по умолчанию, которые необходимы в качестве меры смягчения для CVE-2025-21204 после обновления Windows KB5055523.

Он предназначен для пользователей, которые могли удалить эту папку, не осознавая её назначения для безопасности, и хотят восстановить её без необходимости включать/отключать компоненты IIS.

Что делает этот скрипт

1. Создаёт каталог %SYSTEMDRIVE%\inetpub, если он не существует.
2. Применяет к самой папке inetpub разрешения списка управления доступом (ACL) по умолчанию, необходимые для меры смягчения.
3. Устанавливает владельцем папки inetpub учётную запись NT AUTHORITY\SYSTEM.

Предварительные требования

• Требуются права администратора для изменения системных папок и разрешений.

Инструкции по использованию

Выберите один из следующих способов. Все они требуют окна PowerShell с повышенными правами (от имени администратора).

Способ 1: Быстрое выполнение (с паузой по завершении)

Эта команда немедленно загружает и запускает скрипт. По умолчанию скрипт будет приостановлен для подтверждения по завершении.

powershell -ExecutionPolicy Bypass -Command "irm 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1' | iex"

Способ 2: Быстрое выполнение (без паузы)

Эта команда немедленно загружает и запускает скрипт, используя переключатель -NoWait, чтобы предотвратить паузу скрипта по завершении.

powershell -ExecutionPolicy Bypass -Command "& ([ScriptBlock]::Create((irm 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1'))) -NoWait"

• -NoWait: параметр-переключатель, передаваемый скрипту для подавления финального запроса «Press any key to continue...».

Способ 3: Ручное выполнение

1. Скачайте скрипт:
   root@kitploit:~

   $scriptPath = Join-Path $env:TEMP "Reset-inetpub.ps1"
   Invoke-WebRequest -Uri 'https://raw.githubusercontent.com/mmotti/Reset-inetpub/refs/heads/main/Reset.ps1' -OutFile $scriptPath
   

2. (Необязательно) Просмотрите скрипт:
   root@kitploit:~

   # Open in Notepad
   notepad $scriptPath
   

3. Выполните локальный скрипт:
   root@kitploit:~

   # Standard execution (will pause at the end)
   powershell -ExecutionPolicy Bypass -File $scriptPath
   
   # -- OR -- #
   
   #Execution without the final pause
   powershell -ExecutionPolicy Bypass -File $scriptPath -NoWait
   

4. (Необязательно) Удалите загруженный скрипт:
   root@kitploit:~

   Remove-Item -Path $scriptPath -Force
   

Область применения и ограничения

Имейте в виду следующее:

• Только родительская папка: Скрипт в первую очередь воздействует на разрешения и владельца самой папки %SYSTEMDRIVE%\inetpub. Применяются настройки наследования по умолчанию.
• Предупреждение о существующем содержимом: Если каталог inetpub существует и содержит файлы или вложенные папки, скрипт:
  • Предупредит вас, что каталог не пуст.
  • Продолжит применять разрешения по умолчанию к папке inetpub.
  • Применит изменение владельца (NT AUTHORITY\SYSTEM) только к самой папке inetpub, не рекурсивно. Это позволит избежать возможной перезаписи настраиваемых разрешений на существующее вложенное содержимое.

Сведения о разрешениях

Скрипт предназначен для применения следующих разрешений, полученных из чистой папки inetpub, созданной соответствующим обновлением Windows.

Экспорт icacls: Смотрите acls.txt для получения исходной строки SDDL, используемой скриптом.

Сводка разрешений icacls (пример для диска C:):

C:\inetpub NT SERVICE\TrustedInstaller:(F)
           NT SERVICE\TrustedInstaller:(OI)(CI)(IO)(F)
           NT AUTHORITY\SYSTEM:(F)
           NT AUTHORITY\SYSTEM:(OI)(CI)(IO)(F)
           BUILTIN\Administrators:(F)
           BUILTIN\Administrators:(OI)(CI)(IO)(F)
           BUILTIN\Users:(RX)
           BUILTIN\Users:(OI)(CI)(IO)(GR,GE)
           CREATOR OWNER:(OI)(CI)(IO)(F)

(Примечание: скрипт динамически определяет правильную букву диска.)