dotnetpaddingoracle

Piccolo script per verificare se l'applicazione web .NET è vulnerabile al padding Oracle Questo script verifica effettivamente se l'oracolo è presente e sfruttabile, non solo se la patch è stata installata.

Uso

dotnetpaddingoracle.py [-h] [-t] [-b] [-d] [-s] [-p PARAMETER] Burp request file

Perform the padding Oracle attack on .NET web application
positional arguments:
Burp request file     Request sample from Burp
optional arguments:

-h, --help            show this help message and exit

-t, --test-vuln       Test for the padding Oracle vulnerability

-b, --no-burp         Disable Burp proxying

-d, --decrypt         Decrypt

-s, --ssl             use ssl transport

-p PARAMETER, --parameter PARAMETER

                      Parameter to use as Oracle

Alcuni consigli

• Assicurati di usare il flag 'ssl' nei casi pertinenti, poiché questo può portare a falsi negativi.
• La validazione del certificato dovrebbe ora essere disabilitata globalmente
• Il file di richiesta Burp dovrebbe essere preso da burp solo con la funzione "copy to file" (file di testo semplice)
• In generale non serve il flag "-p" perché lo script sceglie comunque il parametro giusto.
• Di default lo script proverà a connettersi tramite burp (per scopi di debug) su 127.0.0.1:8080 (controlla lo script mtools.py per modificare i valori). Puoi disabilitarlo con il flag "-b".

Limitazioni

• Probabilmente lo script non funzionerà su sistemi Windows
• Serve almeno Python 3.2 per farlo funzionare correttamente (o Python > 3.0 con il modulo argparse)
• Non esegue la cifratura (non c'è stato abbastanza tempo e dati di test), per questo serve ancora padbuster. Tuttavia lo script fornirà l'IV nullo e un blocco valido da usare con padbuster.