【红队利器】——某黑产团伙的IIS内存马源码

关于我们

4SecNet 团队专注于网络安全攻防研究，目前团队成员分布在国内多家顶级安全厂商的核心部门，包括安全研究领域、攻防实验室等，汇聚了行业内的顶尖技术力量。团队在病毒木马逆向分析、APT 追踪、破解技术、漏洞分析、红队工具开发等多个领域积累了深厚经验，并持续在复杂威胁对抗和攻防技术创新方面不断探索与突破。4SecNet 致力于通过技术共享与实践推动网络安全生态的持续进步。

免责声明

本文的内容仅用于学习、交流和技术探讨，旨在传播网络安全知识，提高公众的安全意识。本博客不支持、提倡或参与任何形式的非法活动。本博客内容面向具备合法使用目的的读者，请确保在使用博客中涉及的技术或方法时符合《中华人民共和国网络安全法》等相关法律法规的要求。任何人不得将本博客内容用于破坏网络安全、侵入系统或其他违反法律的活动。

项目获取

微信搜索4SecNet，关注公众号加入圈子，获取项目详细信息

背景介绍

近期，我们追踪了某黑产团伙的一起攻击活动，发现该黑产团伙有能力劫持IIS服务器上的所有请求，并针对特定请求伪造特殊返回包，从而实现流量劫持、命令执行、黑帽SEO等功能。我们定位到该团伙通过IIS流量劫持的模块开发技术实现了全局HTTP流量劫持。

详细信息

该模块主要通过实现 OnBeginRequest 接口，可以拦截IIS传入的 HTTP 请求，并通过自定义条件伪造返回包，达到劫持流量、执行命令等目的。下面的流程详细展示了这一过程。
正常的IIS请求如下：

+----