IIS-Raid

IS Raid は、IIS の拡張性を悪用して Web サーバーにバックドアを仕掛け、攻撃者が定義したカスタムアクションを実行するネイティブ IIS モジュールです。

ドキュメント

インストールされると、IIS-Raid はすべてのリクエストとメソッドを処理し、X-Password ヘッダーが存在するか確認してハードコードされた値と比較します。ヘッダーで指定された値がパスワードと一致しない場合、リクエストはバックドアの兆候を示さずに通常通り継続されます。ヘッダー値がパスワードと一致した場合、通信ヘッダーを検索してその内容を抽出します。さらに、base64 デコードし、事前定義されたコマンドと比較して、あれば指示を処理します。

スクリプトには4つの引数が実装されています：

--url : バックドアとの通信に使用されるURL。 [必須]
--password - バックドア上で事前共有されたパスワード [必須]
--header - デフォルトから変更された場合に通信に使用するヘッダー。
--method - メソッドをGETまたはPOSTに変更する。

このバージョンで現在実装されている機能の一部は以下の通りです：

Interactive Command Execution - コマンドの実行と出力の取得を可能にします。
Shellcode Injection - カスタムシェルコードを注入して機能を拡張します。
Web Password Extractor - Webフォームからパスワードを平文で抽出します。

カスタマイズ

モジュールを使用してコンパイルする前に、いくつかのオプションを変更する必要があります。バックドアへの認証のために、コントローラーはモジュールと事前共有されたパスワードを使用します。これは他のユーザーがバックドアにアクセスするのを防ぐ唯一のメカニズムであるため、デフォルトのパスワードは変更しなければなりません。

パスワード以外にも、Functions.h ファイルで他のバックドアオプションを変更できます：

options