Quand Internet DansFormatssur SServices (IIS) devient latéral plate-forme de déplacement 

La plupart des attaquants savent que l’accès au répertoire racine d’un serveur IIS peut mener à l’exécution de code. Peu le savent cependant que, lorsqu’il est utilisé de manière appropriée, IIS peut devenir une plateforme puissante pour les attaques latérales.  

Cette recherche montre comment une seule page ASPX peut exécuter une application native complète en mémoire à l’intérieur du processus de travail de l’IIS (w3wp.exe) sécurisé – permettant une exécution et un déplacement furtifs sans un fichier de données traditionnellement stocké sur le disque. 

Dans cette publication, vous apprendrez : 

• Comment IIS peut être transformé d’un serveur web en un Plate-forme d'exécution après compromis 

• Comment un seul fichier ASPX peut être utile exécution native du code dans la mémoire sans fichier 

• Pourquoi IIS est une cible de grande valeur Persévérance et mouvement latéral 

• Comment les attaquants modernes contournent la détection statique en exploitant des processus fiables 

• Quels défenseurs devraient surveiller lors de Le fait de ne pas avoir de fichier ne signifie pas qu'il est invisible 

A qui s’adresse-t-il : 

• Les joueurs de l'équipe rouge à la recherche de techniques réalistes et peu bruyantes de déplacement latéral 

• Les joueurs de l'équipe bleue et les analystes de SOC Détection d'exécutions sans fichier dans les environnements IIS 

• Chasseurs de menaces Concentré sur l’activité de mémoire résidante dans les processus Windows fiables