ModSecurity 백도어

설명

이것은 ModSecurity WAF 내부에서 실행되는 악성 소프트웨어의 개념 증명입니다.

이 소프트웨어는 두 가지 주요 기능을 가지고 있습니다:

파일 내용 가져오기.
명령 실행 및 출력 가져오기 (원격 셸).

추가로, 다음 기능도 포함합니다:

탐지를 어렵게 하기 위한 제어 POST 인자 이름의 동적 설정.
탐지를 어렵게 하기 위한 로깅 비활성화 (POST 인자 이름으로 식별되는 공격자 요청에만 해당).
다른 모든 규칙 비활성화 (POST 인자 이름으로 식별되는 공격자 요청에만 해당).

전제 조건

Lua 지원으로 컴파일된 ModSecurity
Lua
ModSecurity 지시문 SecStreamOutBodyInspection 및 SecContentInjection이 On으로 설정되어 있어야 합니다.

설치

backdoor.conf 및 backdoor.lua 파일을 가져와 첫 번째 파일을 웹 서버에 로드하세요.

구성

구성은 backdoor.conf 파일의 첫 번째 규칙에서 수행할 수 있습니다.

tx.backdoor_file_argument_name

이 설정은 파일 내용을 가져오는 데 사용되는 POST 인자의 이름을 설정하는 데 사용할 수 있습니다. koomem6Shmog처럼 임의의 값으로 설정하세요.

tx.backdoor_command_argument_name

이 설정은 명령 실행에 사용되는 POST 인자의 이름을 설정하는 데 사용할 수 있습니다. tys4Olhuibves처럼 임의의 값으로 설정하세요.

사용 방법

명령은 ModSecurity WAF 뒤에 있는 대상 서버의 모든 주소(도메인)에서 실행할 수 있습니다. 명령 출력은 표준 서버 응답에 추가됩니다.

사용 예

파일 내용 가져오기:
curl -X POST -d "koomem6Shmog=/etc/passwd" "http://example.com/"

명령 실행 및 출력 가져오기:
curl -X POST -d "tys4Olhuibves=/bin/ps aux" "http://example.com/"

라이선스

"THE BEER-WARE LICENSE" (개정 42): [email protected]가 이 파일을 작성했습니다. 이 고지를 유지하는 한 이 자료로 무엇이든 할 수 있습니다. 언젠가 우리가 만나, 이 자료가 가치 있다고 생각된다면 그 대가로 맥주 한 잔을 사주세요. Jozef Sudolsky

modsecurity-backdoor

인기