T1505.004: IIS 组件

摘要

攻击者可能安装运行在 Internet Information Services (IIS) Web 服务器上的恶意组件以建立持久化。IIS 提供若干机制来扩展 Web 服务器的功能。例如，可以安装 Internet Server Application Programming Interface (ISAPI) 扩展和过滤器，以检查和/或修改传入和传出的 IIS Web 请求。扩展和过滤器作为 DLL 文件部署，导出三个函数：<code>Get{Extension/Filter}Version</code>、<code>Http{Extension/Filter}Proc</code> 以及（可选）<code>Terminate{Extension/Filter}</code>。也可以安装 IIS 模块来扩展 IIS Web 服务器。(Citation: Microsoft ISAPI Extension Overview 2017)(Citation: Microsoft ISAPI Filter Overview 2017)(Citation: IIS Backdoor 2011)(Citation: Trustwave IIS Module 2013) 攻击者可能安装恶意 ISAPI 扩展和过滤器，以观察和/或修改流量、在被入侵机器上执行命令，或代理命令与控制流量。ISAPI 扩展和过滤器可以访问所有 IIS Web 请求和响应。例如，攻击者可能滥用这些机制修改 HTTP 响应，以便向先前已被入侵的主机分发恶意命令/内容。(Citation: Microsoft ISAPI Filter Overview 2017)(Citation: Microsoft ISAPI Extension Overview 2017)(Citation: Microsoft ISAPI Extension All Incoming 2017)(Citation: Dell TG-3390)(Citation: Trustwave IIS Module 2013)(Citation: MMPC ISAPI Filter 2012) 攻击者还可能安装恶意 IIS 模块来观察和/或修改流量。IIS 7.0 引入了模块，其提供与 ISAPI 扩展和过滤器一样对 HTTP 请求和响应的不受限制访问。IIS 模块可以编写为导出 <code>RegisterModule</code> 的 DLL，或编写为通过 ASP.NET API 访问 IIS HTTP 请求的 .NET 应用程序。(Citation: Microsoft IIS Modules Overview 2007)(Citation: Trustwave IIS Module 2013)(Citation: ESET IIS Malware 2021)