HEY SERIAL!

लेखक: Alyssa Rahman @ramen0x3f

निर्मित: 2021-10-27

अंतिम अद्यतन: 2021-12-02

ब्लॉग: https://www.mandiant.com/resources/hunting-deserialization-exploits

इस टूल और इसके पीछे शोध प्रक्रिया के बारे में अधिक जानकारी के लिए, हमारा ब्लॉग देखें!

विवरण

डिसीरियलाइज़ेशन शोषण के लिए कार्यक्रमानुसार शिकार नियम बनाएँ जिनमें एकाधिक

• कीवर्ड (जैसे cmd.exe)
• गैजेट चेन (जैसे CommonsCollection)
• ऑब्जेक्ट प्रकार (जैसे ViewState, Java, Python Pickle, PHP)
• एन्कोडिंग (जैसे Base64, raw)
• नियम प्रकार (जैसे Snort, Yara)

अस्वीकरण

इस टूल द्वारा उत्पन्न नियम शिकार/अनुसंधान उद्देश्यों के लिए हैं और उच्च विश्वसनीयता/अवरोधन उद्देश्यों के लिए डिज़ाइन नहीं किए गए हैं।

कृपया किसी भी उत्पादन प्रणाली में तैनात करने से पहले पूरी तरह से परीक्षण करें।

Yara नियम मुख्य रूप से वेब सर्वर लॉग स्कैन करने के लिए हैं। कुछ "ऑब्जेक्ट उपसर्ग" केवल 2 बाइट लंबे होते हैं, इसलिए वे बड़े स्कैन को थोड़ा धीमा कर सकते हैं। (अनुवाद: कृपया उन सभी को VT Retrohunt में न डालें।)

उपयोग

सहायता: python3 heyserial.py -h

उदाहरण:

python3 heyserial.py -c 'ExampleChain::condition1+condition2' -t JavaObj
python3 heyserial.py -k cmd.exe whoami 'This file cannot be run in DOS mode'
python3 heyserial.py -k Process.Start -t NETViewState -e base64 "base64+utf16le"

उपकरण

utils/checkyoself.py

यह विभिन्न नमूना फ़ाइलों पर Snort और Yara नियमों के बल्क परीक्षण को स्वचालित करने का एक उपकरण है।

उपयोग: python3 checkyoself.py [-y rules.yara] [-s rules.snort] [-o file_output_prefix] [--matches] [--misses] -d malware.exe malware.pcap

उदाहरण: python3 checkyoself.py -y rules/javaobj -s rules/javaobj -d payloads/javaobj pcaps --misses -o java_misses

utils/generate_payloads.ps1

YSoSerial.NET v1.34 पेलोड जनरेशन। Windows पर ./utils निर्देशिका से चलाएँ।

• स्रोत: https://github.com/pwntester/ysoserial.net
• लाइसेंस: ysoserial.net_LICENSE.txt

utils/generate_payloads.sh

YSoSerial पेलोड जनरेशन। Linux पर ./utils निर्देशिका से चलाएँ।

• स्रोत: https://github.com/frohoff/ysoserial
• लाइसेंस: ysoserial_LICENSE.txt

utils/install_snort.sh

Debian-आधारित सिस्टम पर Snort स्थापित करना मेरे लिए थोड़ा मुश्किल था, इसलिए मैंने अपने स्थापना नोट यहाँ लिखे हैं।

अपने जोखिम पर उपयोग करें एक VM में जिसका आपने हाल ही में स्नैपशॉट लिया है।

utils/server.py

सरल Python स्क्रिप्ट जो 127.0.0.1:12345 पर HTTP सर्वर चलाती है और POST अनुरोध स्वीकार करती है।

परीक्षण PCAP उत्पन्न करने के लिए उपयोगी।

लाइसेंस

कॉपीराइट (C) 2021 Alyssa Rahman, Mandiant, Inc. सर्वाधिकार सुरक्षित। Apache लाइसेंस, संस्करण 2.0 ("लाइसेंस") के तहत लाइसेंस प्राप्त; आप इस फ़ाइल का उपयोग तब तक नहीं कर सकते जब तक आप लाइसेंस का अनुपालन नहीं करते। आप लाइसेंस की एक प्रति प्राप्त कर सकते हैं: [package root]/LICENSE.txt जब तक कानून द्वारा आवश्यक न हो या लिखित रूप से सहमत न हो, लाइसेंस के तहत वितरित सॉफ्टवेयर "जैसा है" आधार पर वितरित किया जाता है, बिना किसी प्रकार की वारंटी या शर्तों के, या तो स्पष्ट या निहित। लाइसेंस के तहत विशिष्ट अनुमतियों और सीमाओं के लिए लाइसेंस देखें।

योगदान

HeySerial को विस्तारित करने के बारे में अधिक जानकारी के लिए Developers' guide (DEVELOPERS.md) देखें!

पूर्व कार्य/संबंधित संसाधन

उपकरण

• Deserialization-Cheat-Sheet – @GrrrDog
• Ysoserial - @frohoff
• MarshalSec - @frohoff
• Ysoserial (forked) - @wh1t3p1g
• Ysoserial.NET and v2 branch - @pwntester
• ViewGen – 0xacb
• Rogue-JNDI - @veracode-research

कमजोरियाँ

• Log4J (CVE-2021-44228)
• Exchange (CVE-2021-42321)
• Zoho ManageEngine (CVE-2020-10189)
• Jira (CVE-2020-36239)
• Telerik (CVE-2019-18935)
• C1 CMS (CVE-2019-18211)
• Jenkins (CVE-2016-9299)
• What Do WebLogic, WebSphere, JBoss, Jenkins, OpenNMS, and Your Application Have in Common? This Vulnerability. – @breenmachine, FoxGloveSecurity (2015)

वार्ताएँ और लेख

• PSA: Log4Shell और JNDI इंजेक्शन की वर्तमान स्थिति - Moritz Bechler (2021)
• यह परीक्षण नहीं है: APT41 ने कई शोषणों का उपयोग करके वैश्विक घुसपैठ अभियान शुरू किया – Chris Glyer, Dan Perez, Sarah Jones, Steve Miller (2020)
• .NET ViewState डिसीरियलाइज़ेशन और इसके शोषण में गहरा गोता – Swapneil Dash (2019)
• ASP.NET में ViewState के माध्यम से डिसीरियलाइज़ेशन का शोषण – Soroush Dalili (2019)
• .NET Framework विधियों और वर्गों में डिसीरियलाइज़ेशन का उपयोग – Soroush Dalili(2018)
• शुक्रवार 13 तारीख, JSON हमले – Alvaro Muños and Oleksandr Mirosh (2017)
• .NET प्रबंधित DCOM का शोषण – James Forshaw, Project Zero (2017)
• Java अनमार्शलर सुरक्षा – Moritz Bechler (2017)
• मेरे शॉर्ट्स को डिसीरियलाइज़ करें – Chris Frohoff (2016)
• डिसीरियलाइज़ेशन कमजोरियों के साथ अपने Java मैसेजिंग को पॉन करना – Matthias Kaiser (2016)
• JNDI/LDAP हेरफेर से रिमोट कोड निष्पादन स्वप्न भूमि तक की यात्रा – Alvaro Muños and Oleksandr Mirosh (2016)
• मार्शलिंग पिकल्स – Chris Frohoff and Gabriel Lawrence (2015)
• क्या आप मेरे प्रकार हैं? सीरियलाइज़ेशन के माध्यम से .NET को तोड़ना – James Forshaw (2012)