dp_cryptomg

Otra herramienta para explotar CVE-2017-9248, una debilidad criptográfica en el controlador de diálogo de Telerik UI para ASP.NET AJAX. La explotación permite acceder a una utilidad de administración de archivos capaz de subir archivos arbitrarios, lo que normalmente conduce a la ejecución remota de código.

La vulnerabilidad se debe a una fuga de información a través de mensajes de error durante el descifrado de los "DialogParameters" de Telerik, que son una serie de valores de configuración cifrados. Estos valores se proporcionan al usuario y luego se devuelven al servidor como entrada del usuario. La información filtrada sobre el proceso de descifrado permite el descubrimiento sistemático de la clave Telerik.Web.UI.DialogParametersEncryptionKey. Para un análisis profundo de la vulnerabilidad y del funcionamiento de la herramienta, visita nuestro artículo en: https://blog.blacklanternsecurity.com/p/yet-another-telerik-ui-revisit.

Agradecimientos

• La herramienta original para explotar CVE-2017-9248, dp_crypto, fue invaluable para construir esta. Sin mencionar que nos ha proporcionado un montón de RCEs a lo largo de los años :)

• La investigación de SR Labs en su artículo Achieving Telerik Remote Code Execution 100 Time Faster fue la base de la técnica utilizada en esta herramienta y nos inspiró para crearla.

Uso

Ejemplo (uso básico):

python3 dp_cryptomg.py http://example.com/Telerik.Web.UI.DialogHandler.aspx

Ejemplo (estableciendo una longitud de clave personalizada y usando un proxy)

python3 dp_cryptomg.py -l 40 -p http://127.0.0.1:8080  http://example.com/Telerik.Web.UI.DialogHandler.aspx

usage: dp_cryptomg.py [-h] [-d] [-c COOKIE] [-k KNOWN_KEY] [-v VERSION] [-l LENGTH] [-p PROXY] [-s] [-S] url

positional arguments:
  url                   The target URL

optional arguments:
  -h, --help            show this help message and exit
  -d, --debug           Enable debugging mode
  -c COOKIE, --cookie COOKIE
                        Add optional cookie header to every request
  -k KNOWN_KEY, --known-key KNOWN_KEY
                        The partial or complete known key, in HEX format
  -v VERSION, --version VERSION
                        Specify the Telerik version, if known
  -l LENGTH, --length LENGTH
                        The length of the key, if known
  -p PROXY, --proxy PROXY
                        Optionally set an HTTP proxy
  -s, --simple          Turn off the fancy interface
  -S, --super-simple    Turn off the fancy interface and show minimal output
  -q, --quick-check     Only detect likely vulnerability and skip exploitation (forces simple mode)

Características

• Mayor rapidez en comparación con herramientas anteriores
• Capaz de recuperar la clave tanto del endpoint Telerik.Web.UI.DialogHandler.aspx como del endpoint Telerik.Web.UI.SpellCheckHandler.axd
• Soporte integrado para proxy HTTP
• Capaz de añadir una cabecera de cookie personalizada a cada solicitud

Notas Importantes

• Si la longitud de la clave no es la predeterminada de 48, debes especificarla manualmente con el parámetro -l
• Si tienes problemas con la interfaz "elegante", puedes desactivarla con las opciones -s o -S. Esto también aumentará ligeramente la velocidad del proceso de explotación.

Referencias

• CVE-2017-9248 - https://nvd.nist.gov/vuln/detail/CVE-2017-9248
• Telerik Knowledge Base Cryptographic Weakness - https://docs.telerik.com/devtools/aspnet-ajax/knowledge-base/common-cryptographic-weakness
• dp_crypto - https://github.com/bao7uo/dp_crypto
• Telerik 100 Times Faster - https://www.srlabs.de/bites/telerik-100-times-faster
• Pwning Web Applications via Telerik Web UI - https://captmeelo.com/pentest/2018/08/03/pwning-with-telerik.html