ModSecurity Backdoor

説明

これは ModSecurity WAF 内部で動作する悪意のあるソフトウェアの概念実証です。

ソフトウェアには主に2つの機能があります:

ファイルの内容を取得する。
コマンドを実行し、その出力を取得する（リモートシェル）。

さらに、以下の機能も含まれます:

検知を困難にするための制御用 POST 引数名の動的設定。
検知を困難にするためのログ無効化（POST 引数名で識別される攻撃者のリクエストのみ）。
その他のすべてのルールの無効化（POST 引数名で識別される攻撃者のリクエストのみ）。

前提条件

Lua サポート付きでコンパイルされた ModSecurity
Lua
ModSecurity ディレクティブ SecStreamOutBodyInspection と SecContentInjection が On に設定されていること

インストール

ファイル backdoor.conf と backdoor.lua を取得し、最初のファイルを Web サーバーに読み込みます。

設定

設定は backdoor.conf ファイル内の最初のルールで行うことができます。

tx.backdoor_file_argument_name

この設定は、ファイルの内容を取得するために使用される POST 引数の名前を設定するために使用できます。koomem6Shmog のようなランダムな値に設定してください。

tx.backdoor_command_argument_name

この設定は、コマンドを実行するために使用される POST 引数の名前を設定するために使用できます。tys4Olhuibves のようなランダムな値に設定してください。

使用方法

コマンドは、ModSecurity WAF の背後にあるターゲットサーバー上の任意のアドレス（ドメイン）で実行できます。コマンドの出力は標準のサーバーレスポンスに追加されます。

使用例

ファイルの内容を取得する:
curl -X POST -d "koomem6Shmog=/etc/passwd" "http://example.com/"

コマンドを実行して出力を取得する:
curl -X POST -d "tys4Olhuibves=/bin/ps aux" "http://example.com/"

ライセンス

"THE BEER-WARE LICENSE" (Revision 42): [email protected] wrote this file. As long as you retain this notice you can do whatever you want with this stuff. If we meet some day, and you think this stuff is worth it, you can buy me a beer in return. Jozef Sudolsky

modsecurity-backdoor

人気