dp_cryptomg

CVE-2017-9248 का शोषण करने के लिए एक और उपकरण, जो Telerik UI for ASP.NET AJAX डायलॉग हैंडलर में एक क्रिप्टोग्राफिक कमज़ोरी है। शोषण से एक फ़ाइल प्रबंधक उपयोगिता तक पहुँच मिलती है जो मनमानी फ़ाइलें अपलोड करने में सक्षम है, जो आमतौर पर रिमोट कोड निष्पादन की ओर ले जाती है।

यह कमज़ोरी Telerik "DialogParameters" के डिक्रिप्शन के दौरान त्रुटि संदेशों के माध्यम से जानकारी के रिसाव के कारण होती है, जो एन्क्रिप्टेड कॉन्फ़िगरेशन मानों की एक श्रृंखला है। ये मान उपयोगकर्ता को प्रदान किए जाते हैं, और फिर सर्वर को उपयोगकर्ता-इनपुट के रूप में वापस भेज दिए जाते हैं। डिक्रिप्शन प्रक्रिया के बारे में लीक हुई जानकारी Telerik.Web.UI.DialogParametersEncryptionKey की व्यवस्थित खोज की अनुमति देती है। कमज़ोरी और उपकरण के काम करने के तरीके के बारे में गहन जानकारी के लिए, हमारा ब्लॉग पोस्ट देखें: https://blog.blacklanternsecurity.com/p/yet-another-telerik-ui-revisit।

आभार

• CVE-2017-9248 के शोषण के लिए मूल उपकरण dp_crypto इस उपकरण के निर्माण में अमूल्य था। साथ ही, इसने हमें वर्षों में काफी RCE दिए हैं :)

• SR Labs द्वारा उनके ब्लॉग पोस्ट Achieving Telerik Remote Code Execution 100 Time Faster में किए गए शोध इस उपकरण में उपयोग की गई तकनीक का आधार थे और हमें इसे बनाने के लिए प्रेरित किया।

उपयोग

उदाहरण (बुनियादी उपयोग):

python3 dp_cryptomg.py http://example.com/Telerik.Web.UI.DialogHandler.aspx

उदाहरण (कस्टम कुंजी लंबाई सेट करना और प्रॉक्सी का उपयोग करना):

python3 dp_cryptomg.py -l 40 -p http://127.0.0.1:8080 http://example.com/Telerik.Web.UI.DialogHandler.aspx

उपयोग: dp_cryptomg.py [-h] [-d] [-c COOKIE] [-k KNOWN_KEY] [-v VERSION] [-l LENGTH] [-p PROXY] [-s] [-S] [-q] url

positional arguments:
  url                   लक्ष्य URL

optional arguments:
  -h, --help            यह सहायता संदेश दिखाएँ और बाहर निकलें
  -d, --debug           डिबगिंग मोड सक्षम करें
  -c COOKIE, --cookie COOKIE
                        प्रत्येक अनुरोध में वैकल्पिक कुकी हेडर जोड़ें
  -k KNOWN_KEY, --known-key KNOWN_KEY
                        HEX प्रारूप में आंशिक या पूर्ण ज्ञात कुंजी
  -v VERSION, --version VERSION
                        Telerik संस्करण निर्दिष्ट करें, यदि ज्ञात हो
  -l LENGTH, --length LENGTH
                        कुंजी की लंबाई, यदि ज्ञात हो
  -p PROXY, --proxy PROXY
                        वैकल्पिक रूप से एक HTTP प्रॉक्सी सेट करें
  -s, --simple          फैंसी इंटरफ़ेस बंद करें
  -S, --super-simple    फैंसी इंटरफ़ेस बंद करें और न्यूनतम आउटपुट दिखाएँ
  -q, --quick-check     केवल संभावित कमज़ोरी का पता लगाएँ और शोषण छोड़ें (सरल मोड को बाध्य करता है)

विशेषताएँ

• पिछले उपकरणों की तुलना में बढ़ी हुई गति
• Telerik.Web.UI.DialogHandler.aspx और Telerik.Web.UI.SpellCheckHandler.axd दोनों एंडपॉइंट से कुंजी पुनर्प्राप्त करने में सक्षम
• अंतर्निहित HTTP प्रॉक्सी समर्थन
• प्रत्येक अनुरोध में एक कस्टम कुकी हेडर जोड़ने में सक्षम

महत्वपूर्ण नोट्स

• यदि कुंजी की लंबाई डिफ़ॉल्ट लंबाई 48 नहीं है, तो आपको -l पैरामीटर के साथ मैन्युअल रूप से लंबाई निर्दिष्ट करनी होगी
• यदि आपको "फैंसी" इंटरफ़ेस में समस्या आती है, तो आप इसे -s या -S विकल्पों से अक्षम कर सकते हैं। इससे शोषण प्रक्रिया की गति भी थोड़ी बढ़ जाएगी।

संदर्भ

• CVE-2017-9248 - https://nvd.nist.gov/vuln/detail/CVE-2017-9248
• Telerik Knowledge Base Cryptographic Weakness - https://docs.telerik.com/devtools/aspnet-ajax/knowledge-base/common-cryptographic-weakness
• dp_crypto - https://github.com/bao7uo/dp_crypto
• Telerik 100 Times Faster - https://www.srlabs.de/bites/telerik-100-times-faster
• Pwning Web Applications via Telerik Web UI - https://captmeelo.com/pentest/2018/08/03/pwning-with-telerik.html