irsdl/crapsecretsUna libreria per rilevare segreti noti in molti framework web.
mkdir -p ~/ctools/ cd ~/ctools/ git clone https://github.com/irsdl/crapsecrets/ cd ~/ctools/crapsecrets pip3 install -r requirements.txt export PYTHONPATH=$(pwd):$PYTHONPATH python3 ./crapsecrets/examples/cli.py -u http://update.microsoft.com/ -r python3 ./crapsecrets/examples/cli.py -u http://update.microsoft.com/ -mrd 5 python3 ./crapsecrets/examples/cli.py -mrd 5 -avsk -fvsp -u http://update.microsoft.com/ python3 ./crapsecrets/examples/cli.py -mrd 5 -avsk -fvsp -mkf ./local/aspnet_machinekeys_local.txt -u http://192.168.6.22:8080/ python3 ./crapsecrets/examples/cli.py -mrd 5 -avsk -fvsp -mkf ./local/aspnet_machinekeys_local.txt -mkf ./crapsecrets/resources/aspnet_machinekeys.txt -u http://192.168.6.22:8080/a1/b/c1/
## Suggerimenti per Viewstate
- Esegui il comando usando `-mrd 5` per consentire l'analisi di risposte di reindirizzamento lunghe.
- Usa `--allviewstatekeys` o `-avsk` per provare tutte le combinazioni di chiavi come chiavi di validazione e crittografia.
- Usa `--findviewstatepage` o `-fvsp` per provare un set di pagine predefinite quando .aspx manca dall'URL.
## Modifiche Generiche:
- Usa httpx invece di requests (modifiche apportate principalmente da AI con test minimi, quindi potrebbero essere errate).
- Aggiunge profondità al reindirizzamento (l'argomento `--max-redirect-depth` per reindirizzamenti manuali).
- Supporta header aggiuntivi.
- Il timeout della richiesta può essere impostato usando l'argomento `--timeout` o `-t`.
## Modifiche a Viewstate:
- Contiene alcune modifiche logiche.
- Mostra una possibilità per AES e 3DES per la chiave di validazione in viewstate .NET 4.0 crittografati.
- Rimuove i valori cookieless dal percorso.
- Rimuove i parametri dopo .aspx.
- Rimuove più caratteri slash e backslash.
- Migliora la logica .NET4.5 per usare i nomi delle applicazioni nelle sottodirectory.
- Rileva quando "MAC is not enabled".
- Gestisce reindirizzamenti lunghi quando c'è una risposta (questo è quando -r per seguire il reindirizzamento NON viene usato).
- Gestisce il reindirizzamento a un'altra pagina ASPX (questo è quando -r per seguire il reindirizzamento viene usato).
- Gestisce quando viene usato Server.Transfer invece di un reindirizzamento (il generatore è diverso dal target).
- Rileva quando viene usato MaxPageStateFieldLength e abbiamo __VIEWSTATEFIELDCOUNT.
- Supporta alcuni ViewStateUserKey predefiniti oltre al controllo dei cookie asp.net_sessionid e __antixsrftoken nella risposta.
- Rileva correttamente le chiavi di decrittazione per 3DES in ASPNET4.5.
- Aggiunge un'opzione per controllare tutte le stringhe in aspnet_machinekeys.txt una volta come chiave di validazione e una volta come chiave di decrittazione. Quando usiamo il flag `--allviewstatekeys`, lo strumento tenta di trovare tutte le potenziali chiavi di crittografia e prova ciascuna in ordine casuale per decrittare i dati. Poiché vengono testate molte chiavi, c'è la possibilità di imbattersi in una chiave non valida in una singola esecuzione. Tuttavia, lo strumento elencherà ogni possibile chiave rilevata. Eseguendo lo strumento due volte, aumenti significativamente la probabilità di trovare una chiave di crittografia valida, poiché vedere la stessa chiave apparire in entrambe le esecuzioni è quasi una garanzia al 100% che sia corretta.
- Usa un array di pagine predefinite quando .aspx non è incluso nell'URL fornito: `["default.aspx", "index.aspx", "main.aspx", "home.aspx" , "start.aspx", "welcome.aspx", "default2.aspx"]` - Questo aumenta significativamente il tempo di test ma può potenzialmente portare a più risultati.
- Può usare `-mkf` o `--machinekeyfile` come file di risorse per le machinekeys così possiamo usare una versione locale se contiene chiavi sensibili.
- Usa una versione personalizzata della libreria python viewstate per supportare più oggetti durante l'analisi del viewstate.
- Aggiunto l'argomento `-evsd` o `--enable-viewstate-decryption` per controllare la chiave di decrittazione anche quando la chiave di validazione non è stata trovata. Questo può essere utile quando la chiave di validazione è leggermente diversa da quella originale nella lista.
- Calcola `__VIEWSTATEGENERATOR` identificandone il codice hash. Tenta anche di trovare il percorso effettivo e il percorso dell'app in anticipo se `__VIEWSTATEGENERATOR` e URL sono stati forniti. Questo può potenzialmente aumentare le prestazioni, specialmente quando una pagina ASPX predefinita identificabile manca dall'URL.
- Gli utenti possono specificare il numero di thread da usare con l'opzione `-nt` o `--num-threads` (applicabile solo al modulo viewstate). Il valore predefinito è 1, che sorprendentemente è più veloce di 10 nella maggior parte dei casi!
- Dovrebbe supportare file senza estensione ma dovremo correggere gli errori man mano che vengono segnalati.
- Supporta IsolateApps (utile per .NET40 legacy). Questo è quando abbiamo ",IsolateApps" dopo le chiavi di validazione o decrittazione.
- Riduce il numero di apppath testandoli attivamente in base a https://soroush.me/blog/2019/07/iis-application-vs-folder-detection-during-blackbox-testing/. Può essere disabilitato con `-dap` o `--disable-active-path-check`.
- Controlla __VIEWSTATE_KEY nel corpo della risposta e lo usa anche come viewstatekey.
- Aggiunge l'indirizzo IP pubblico alla viewstate key basata sull'ID di sessione o sul token anti-XSRF.
- Usa __EVENTVALIDATION quando __VIEWSTATE manca.
- Usa i valori delle risorse crittografate da `/WebResource.axd?d=` o `/ScriptResource.axd?d=` in un nuovo modulo chiamato "aspnet_resource.py". Supporta anche la funzionalità IsolateApps lì. Questo è utile quando __VIEWSTATE e __EVENTVALIDATION mancano.