Puerta Trasera de ModSecurity

Descripción

Esta es una prueba de concepto de un software malicioso que se ejecuta dentro del WAF ModSecurity.

El software tiene dos funciones principales:

• Obtener el contenido de archivos.
• Ejecutar comandos y obtener su salida (shell remota).

Además, incluye estas funciones:

• Configuración dinámica de los nombres de los argumentos POST de control para una detección más difícil.
• Desactivación del registro de eventos para una detección más difícil (solo para las solicitudes del atacante identificadas por los nombres de los argumentos POST).
• Desactivación de todas las demás reglas (solo para las solicitudes del atacante identificadas por los nombres de los argumentos POST).

Requisitos previos

• ModSecurity compilado con soporte para Lua
• Lua
• Las directivas de ModSecurity SecStreamOutBodyInspection y SecContentInjection están configuradas en On

Instalación

Obtenga los archivos backdoor.conf y backdoor.lua y cargue el primero en el servidor web.

Configuración

La configuración se puede realizar en la primera regla del archivo backdoor.conf.

tx.backdoor_file_argument_name

Esta opción se puede utilizar para establecer el nombre del argumento POST utilizado para obtener el contenido de los archivos. Configúrelo con algo aleatorio como koomem6Shmog.

tx.backdoor_command_argument_name

Esta opción se puede utilizar para establecer el nombre del argumento POST utilizado para ejecutar comandos. Configúrelo con algo aleatorio como tys4Olhuibves.

Uso

Los comandos se pueden ejecutar en cualquier dirección (dominio) del servidor de destino que esté detrás del WAF ModSecurity. La salida de los comandos se añade a la respuesta estándar del servidor.

Ejemplos de uso

Obtener el contenido de un archivo:
curl -X POST -d "koomem6Shmog=/etc/passwd" "http://example.com/"

Ejecutar un comando y obtener su salida:
curl -X POST -d "tys4Olhuibves=/bin/ps aux" "http://example.com/"

Licencia

Copyright (c) 2022 Jozef Sudolsky. Todos los derechos reservados.

"THE BEER-WARE LICENSE" (Revisión 42): [email protected] escribió este archivo. Mientras conserve este aviso, puede hacer lo que quiera con este material. Si nos encontramos algún día y cree que este material vale la pena, puede invitarme a una cerveza a cambio. Jozef Sudolsky