dp_cryptomg

أداة أخرى لاستغلال CVE-2017-9248، وهي ثغرة ضعف تشفيرية في معالج الحوار لتطبيقات Telerik UI لـ ASP.NET AJAX. يؤدي الاستغلال إلى الوصول إلى أداة إدارة ملفات قادرة على رفع ملفات عشوائية، مما يؤدي عادةً إلى تنفيذ أكواد عن بُعد.

تنتج الثغرة عن تسرب معلومات عبر رسائل الخطأ أثناء فك تشفير معلمات الحوار "DialogParameters" الخاصة بـ Telerik، وهي مجموعة من قيم التهيئة المشفرة. تُقدم هذه القيم للمستخدم، ثم تُعاد إلى الخادم كمدخلات من المستخدم. تسمح المعلومات المسربة حول عملية فك التشفير بالكشف المنهجي عن Telerik.Web.UI.DialogParametersEncryptionKey. للتعمق في الثغرة وكيفية عمل الأداة، زر مقالنا على: https://blog.blacklanternsecurity.com/p/yet-another-telerik-ui-revisit.

شكر وتقدير

• الأداة الأصلية لاستغلال CVE-2017-9248 dp_crypto كانت لا تُقدَّر بثمن لبناء هذه الأداة. ناهيك عن أنها قدمت لنا الكثير من عمليات RCE على مر السنين :)

• البحث الذي أجرته SR Labs في مقالهم Achieving Telerik Remote Code Execution 100 Time Faster كان الأساس للتقنية المستخدمة في هذه الأداة وألهمنا لإنشائها.

الاستخدام

مثال (الاستخدام الأساسي):

python3 dp_cryptomg.py http://example.com/Telerik.Web.UI.DialogHandler.aspx

مثال (تعيين طول مفتاح مخصص واستخدام بروكسي):

python3 dp_cryptomg.py -l 40 -p http://127.0.0.1:8080  http://example.com/Telerik.Web.UI.DialogHandler.aspx

الاستخدام: dp_cryptomg.py [-h] [-d] [-c COOKIE] [-k KNOWN_KEY] [-v VERSION] [-l LENGTH] [-p PROXY] [-s] [-S] url

positional arguments:
  url                   عنوان URL الهدف

optional arguments:
  -h, --help            إظهار رسالة المساعدة والخروج
  -d, --debug           تفعيل وضع التصحيح
  -c COOKIE, --cookie COOKIE
                        إضافة رأس اختياري للكوكيز مع كل طلب
  -k KNOWN_KEY, --known-key KNOWN_KEY
                        المفتاح المعروف جزئياً أو كلياً، بصيغة HEX
  -v VERSION, --version VERSION
                        تحديد إصدار Telerik إذا كان معروفاً
  -l LENGTH, --length LENGTH
                        طول المفتاح إذا كان معروفاً
  -p PROXY, --proxy PROXY
                        تعيين بروكسي HTTP اختياري
  -s, --simple          إيقاف الواجهة المتطورة
  -S, --super-simple    إيقاف الواجهة المتطورة وعرض مخرجات بسيطة
  -q, --quick-check     كشف الثغرة المحتملة فقط وتخطي الاستغلال (يفرض الوضع البسيط)

الميزات

• سرعة محسّنة مقارنة بالأدوات السابقة
• القدرة على استرجاع المفتاح من نقطتي النهاية Telerik.Web.UI.DialogHandler.aspx و Telerik.Web.UI.SpellCheckHandler.axd
• دعم بروكسي HTTP مدمج
• القدرة على إضافة رأس كوكيز مخصص لكل طلب

ملاحظات مهمة

• إذا لم يكن طول المفتاح هو الطول الافتراضي 48، يجب عليك تحديد الطول يدوياً باستخدام الوسيط -l
• إذا واجهت مشاكل مع الواجهة "المتطورة"، يمكنك تعطيلها باستخدام الخيارات -s أو -S. سيؤدي ذلك أيضاً إلى زيادة سرعة عملية الاستغلال بشكل طفيف.

المراجع

• CVE-2017-9248 - https://nvd.nist.gov/vuln/detail/CVE-2017-9248
• قاعدة المعرفة Telerik: الثغرة التشفيرية - https://docs.telerik.com/devtools/aspnet-ajax/knowledge-base/common-cryptographic-weakness
• dp_crypto - https://github.com/bao7uo/dp_crypto
• Telerik أسرع 100 مرة - https://www.srlabs.de/bites/telerik-100-times-faster
• اختراق تطبيقات الويب عبر Telerik Web UI - https://captmeelo.com/pentest/2018/08/03/pwning-with-telerik.html