باب خلفي لـ ModSecurity

الوصف

هذا إثبات مفهوم لبرمجية خبيثة تعمل داخل ModSecurity WAF.

للبرمجية وظيفتان رئيسيتان:

• استرجاع محتوى الملفات.
• تنفيذ الأوامر واسترجاع المخرجات (شل بعيد).

بالإضافة إلى ذلك، تشمل البرمجية الوظائف التالية:

• ضبط ديناميكي لأسماء وسائط POST الخاصة بالتحكم لجعل الاكتشاف أصعب.
• تعطيل التسجيل لجعل الاكتشاف أصعب (فقط لطلبات المهاجم التي يتم التعرف عليها من خلال أسماء وسائط POST).
• تعطيل جميع القواعد الأخرى (فقط لطلبات المهاجم التي يتم التعرف عليها من خلال أسماء وسائط POST).

المتطلبات الأساسية

• ModSecurity مُجمَّع مع دعم Lua
• Lua
• توجيهات ModSecurity SecStreamOutBodyInspection و SecContentInjection مضبوطة على On

التثبيت

احصل على الملفين backdoor.conf و backdoor.lua وقم بتحميل الأول إلى خادم الويب.

الإعداد

يمكن إجراء الإعداد في القاعدة الأولى في الملف backdoor.conf.

tx.backdoor_file_argument_name

يمكن استخدام هذا الإعداد لتعيين اسم وسيط POST المستخدم لاسترجاع محتوى الملفات. عيّنه إلى أي قيمة عشوائية مثل koomem6Shmog.

tx.backdoor_command_argument_name

يمكن استخدام هذا الإعداد لتعيين اسم وسيط POST المستخدم لتنفيذ الأوامر. عيّنه إلى أي قيمة عشوائية مثل tys4Olhuibves.

الاستخدام

يمكن تنفيذ الأوامر على أي عنوان (نطاق) على الخادم المستهدف الموجود خلف ModSecurity WAF. تُلحق مخرجات الأوامر بالاستجابة القياسية للخادم.

أمثلة الاستخدام

استرجاع محتوى ملف:
curl -X POST -d "koomem6Shmog=/etc/passwd" "http://example.com/"

تنفيذ أمر والحصول على المخرجات:
curl -X POST -d "tys4Olhuibves=/bin/ps aux" "http://example.com/"

الترخيص

حقوق النشر (c) 2022 Jozef Sudolsky. جميع الحقوق محفوظة.

"THE BEER-WARE LICENSE" (Revision 42): [email protected] كتب هذا الملف. طالما احتفظت بهذا الإشعار، فأنت تستطيع أن تفعل ما تشاء بهذه المواد. إذا التقينا يومًا ما، ورأيت أن هذه المواد تستحق ذلك، يمكنك أن تشتري لي بيرة في المقابل. Jozef Sudolsky