Viewstate-Sicherheits-Workshop

Dieses Repository ist für den Workshop Testen von ASP.NET ViewState mit YSoNet (YSoSerial.NET).

Empfohlene Lektüre: Ausnutzung der Deserialisierung in ASP.NET über ViewState

Empfohlene Tools zum Lösen der Labs (sobald das Lab eingerichtet ist):

• https://github.com/irsdl/crapsecrets
• https://github.com/irsdl/ysonet

Workshop-Folien: EXPLOITING_KNOWN_MACHINE_WORKSHOP_v1.0_NahamCon2025_slides.pdf

Sicherheitswarnung

Dies ist eine absichtlich unsichere Laborumgebung, die ausschließlich für Sicherheitstests und Schulungszwecke gedacht ist.

• Der Server verwendet öffentlich bekannt gegebene Machine Keys, was ihn anfällig für ViewState-Deserialisierungsangriffe macht
• Stellen Sie diese Anwendung NICHT in einem öffentlich zugänglichen Netzwerk bereit
• FÜHREN Sie dieses Lab IMMER in einer isolierten Umgebung aus (VM, Container oder air-gapped Netzwerk)
• Die Schwachstellen in diesem Lab können bei Ausnutzung zu Remote Code Execution (RCE) führen

Dieses Lab soll Sicherheitsexperten dabei helfen, ihre Testfähigkeiten für ASP.NET-ViewState-Schwachstellen zu verbessern. Verwenden Sie es verantwortungsbewusst und nur in kontrollierten Umgebungen.

Einrichtungsschritte

Führen Sie diese Schritte auf Ihrem isolierten Windows-Server aus, um die Laborumgebung vorzubereiten. Öffnen Sie ein PowerShell-Terminal mit erhöhten Rechten (Als Administrator ausführen) und führen Sie die folgenden Befehle aus:

Schritt 1: Repository herunterladen

# Clone the repository (or download and extract the ZIP)
git clone https://github.com/irsdl/viewstate-security-workshop.git
cd viewstate-security-workshop

Schritt 2: IIS und .NET Framework installieren

.\tools\Install-IISAndDotNet.ps1

Dies installiert IIS mit ASP.NET-Unterstützung und allen erforderlichen .NET Framework-Versionen.

Schritt 3: Windows Defender deaktivieren

.\tools\Disable-DefenderProtection.ps1

Warum Defender deaktivieren? Für dieses Lab deaktivieren wir Windows Defender, damit die Befehlsausführung über ViewState-Exploits nicht blockiert wird. So können Sie eine erfolgreiche Ausnutzung ohne Störung durch den Endpunktschutz klar beobachten.

Wichtig: In einer realen Testumgebung oder Produktionsumgebung sollten Sie die Schutzfunktionen aktiviert lassen. Ziel dieses Workshops ist es, die Mechanik der Schwachstelle zu verstehen – sobald Sie die Techniken gelernt haben, üben Sie, diese Angriffe bei aktiviertem Defender zu erkennen und zu blockieren.

Schritt 4: Die Workshop-IIS-Site importieren

.\import-workshopiis.ps1

Dieses interaktive Skript richtet die verwundbare Workshop-Site in IIS ein. Es fragt nach Konfigurationsoptionen mit den folgenden Standardwerten:

Das Skript wird:

• Den Ordner content in den Stammpfad der Site kopieren
• Die erforderlichen Anwendungspools erstellen
• Die IIS-Site mit mehreren verwundbaren Anwendungen konfigurieren (mac/nomac-Varianten für verschiedene .NET-Versionen)

Nach der Einrichtung sollte Ihr IIS-Manager wie folgt aussehen:

Nur für neugierige Leser:

Tools

Install-IISAndDotNet.ps1

Bereitet einen Windows-Server für das Lab vor, indem IIS- und .NET-Framework-Komponenten installiert werden.

Speicherort: tools/Install-IISAndDotNet.ps1

Verwendung:

# Run as Administrator
.\tools\Install-IISAndDotNet.ps1

Was installiert wird:

• IIS-Webserver mit Verwaltungstools
• Allgemeine HTTP-Funktionen (Standarddokumente, Verzeichnis durchsuchen, statische Inhalte)
• Anwendungsentwicklungsfunktionen (ASP.NET 3.5, ASP.NET 4.5+, ISAPI-Erweiterungen/-Filter)
• .NET Framework 3.5 (enthält 2.0 und 3.0)
• .NET Framework 4.5/4.8-Funktionen
• Sicherheitskomponenten (Anforderungsfilterung, Basis-/Windows-Authentifizierung)
• WCF-Dienste (optional)

Hinweis: Für die Installation von .NET Framework 3.5 auf isolierten Servern müssen Sie unter Umständen eine Windows-Server-ISO einbinden und die auskommentierte, quellenbasierte Installationsoption im Skript aktivieren.

Disable-DefenderProtection.ps1

Deaktiviert die Windows-Defender-Schutzfunktionen, damit Exploit-Tools in der Laborumgebung ausgeführt werden können.

Speicherort: tools/Disable-DefenderProtection.ps1

Verwendung:

# Run as Administrator
.\tools\Disable-DefenderProtection.ps1

Was deaktiviert wird:

• Echtzeit-Antivirus-Überwachung
• AMSI-/Skriptüberprüfung
• Web-/Download-Überprüfung (IOAV-Schutz)
• Verhaltensüberwachung
• Cloud-"first seen"-Blockierung

Enable-DefenderProtection.ps1

Aktiviert die Windows-Defender-Schutzfunktionen nach der Nutzung des Labs wieder.

Speicherort: tools/Enable-DefenderProtection.ps1

Verwendung:

# Run as Administrator
.\tools\Enable-DefenderProtection.ps1

Was wieder aktiviert wird:

• Echtzeit-Antivirus-Überwachung
• AMSI-/Skriptüberprüfung
• Web-/Download-Überprüfung (IOAV-Schutz)
• Verhaltensüberwachung
• Cloud-"first seen"-Blockierung

import-workshopiis.ps1

Interaktives Skript, das die Konfiguration der Workshop-IIS-Site importiert und die verwundbaren Webinhalte bereitstellt.

Speicherort: import-workshopiis.ps1

Verwendung:

# Run as Administrator
.\import-workshopiis.ps1

Was das Skript tut:

• Fragt nach Site-Name, Stammpfad und HTTP-Port (mit sinnvollen Standardwerten)
• Kopiert den Ordner content in den angegebenen Stammpfad
• Erstellt erforderliche Anwendungspools (einschließlich .NET v2.0-Pool für Altanwendungen)
• Erstellt die IIS-Site mit den konfigurierten Bindungen
• Richtet untergeordnete Anwendungen für verschiedene ViewState-Testszenarien ein

workshop-iis-config.json

JSON-Konfigurationsdatei, die die von einem Referenz-Lab-Server exportierte IIS-Site-Struktur definiert.

Speicherort: workshop-iis-config.json

Enthält:

• Site-Bindungen (HTTP-Port 80, HTTPS-Port 443)
• Zuordnungen von Anwendungspools
• Pfade der untergeordneten Anwendungen für verschiedene Testszenarien:
  • /mac/* - Anwendungen mit aktivierter MAC-Validierung
  • /nomac/* - Anwendungen ohne MAC-Validierung
  • Versionsspezifische Apps (v20, v40, v45) zum Testen verschiedener .NET-Laufzeiten

Haftungsausschluss

Diese Software wurde ausschließlich für akademische Forschung und die Entwicklung effektiver Verteidigungstechniken erstellt und ist nicht dazu gedacht, Systeme anzugreifen, außer wenn dies ausdrücklich genehmigt wurde. Die Projektbetreuer sind nicht verantwortlich oder haftbar für den Missbrauch der Software. Verwenden Sie sie verantwortungsbewusst.

Diese Software ist ein persönliches Projekt und steht in keinem Zusammenhang mit Unternehmen, einschließlich der Arbeitgeber des Projektinhabers und der Mitwirkenden.