Viewstate セキュリティワークショップ

このリポジトリは、YSoNet (YSoSerial.NET) を使用した ASP.NET ViewState のテストワークショップ用です。

推奨読書: ASP.NET の ViewState を介したデシリアライゼーションの悪用

ラボのセットアップ後に課題を解くための推奨ツール:

• https://github.com/irsdl/crapsecrets
• https://github.com/irsdl/ysonet

ワークショップのスライド: EXPLOITING_KNOWN_MACHINE_WORKSHOP_v1.0_NahamCon2025_slides.pdf

セキュリティ警告

これは、セキュリティテストおよび教育目的のみの意図的に安全でないラボ環境です。

• サーバーは公開されたマシンキーを使用しているため、ViewState のデシリアライゼーション攻撃に対して脆弱です
• このアプリケーションを公開ネットワークにデプロイしないでください
• このラボは常に隔離された環境（VM、コンテナ、またはエアギャップネットワーク）で実行してください
• このラボの脆弱性は、悪用されるとリモートコード実行 (RCE) につながる可能性があります

このラボは、セキュリティ専門家が ASP.NET ViewState の脆弱性に対するテスト能力を向上させるために設計されています。責任を持って、管理された環境でのみ使用してください。

セットアップ手順

隔離された Windows Server で以下の手順を実行して、ラボ環境を準備します。昇格された PowerShell ターミナル（管理者として実行）を開き、次のコマンドを実行してください:

ステップ 1: リポジトリをダウンロードする

# Clone the repository (or download and extract the ZIP)
git clone https://github.com/irsdl/viewstate-security-workshop.git
cd viewstate-security-workshop

ステップ 2: IIS と .NET Framework をインストールする

.\tools\Install-IISAndDotNet.ps1

これにより、ASP.NET サポートを備えた IIS と、必要なすべての .NET Framework バージョンがインストールされます。

ステップ 3: Windows Defender を無効にする

.\tools\Disable-DefenderProtection.ps1

Defender を無効にする理由は? このラボでは、ViewState エクスプロイトによるコマンド実行がブロックされないように Windows Defender を無効にします。これにより、エンドポイント保護の干渉を受けることなく、エクスプロイトの成功を明確に観察できます。

重要: 実際のテストラボや本番環境では、保護を有効にしたままにしてください。このワークショップの目的は脆弱性の仕組みを理解することです。テクニックを学んだら、Defender を有効にした状態でこれらの攻撃を検出・ブロックする練習をしてください。

ステップ 4: ワークショップ IIS サイトをインポートする

.\import-workshopiis.ps1

この対話型スクリプトは、IIS に脆弱なワークショップサイトをセットアップします。構成オプションを次のデフォルト値でプロンプト表示します:

設定	デフォルト値
Config file	.\workshop-iis-config.json
Site name	workshop
Root path	C:\workshop\websites\wwwdata
HTTP port	80

このスクリプトは以下のことを行います:

• content フォルダーをサイトのルートパスにコピーします
• 必要なアプリケーションプールを作成します
• 複数の脆弱なアプリケーション（異なる .NET バージョン向けの mac/nomac バリアント）で IIS サイトを構成します

セットアップ後、IIS マネージャーは次のようになります:

---

興味のある方のみ:

ツール

Install-IISAndDotNet.ps1

IIS と .NET Framework コンポーネントをインストールして、ラボ用の Windows Server を準備します。

場所: tools/Install-IISAndDotNet.ps1

使用方法:

# Run as Administrator
.\tools\Install-IISAndDotNet.ps1

インストールするもの:

• 管理ツール付き IIS Web サーバー
• 一般的な HTTP 機能（既定のドキュメント、ディレクトリ参照、静的コンテンツ）
• アプリケーション開発機能（ASP.NET 3.5、ASP.NET 4.5+、ISAPI 拡張/フィルター）
• .NET Framework 3.5（2.0 と 3.0 を含む）
• .NET Framework 4.5/4.8 機能
• セキュリティコンポーネント（要求フィルタリング、基本/Windows 認証）
• WCF サービス（オプション）

注: 分離されたサーバーへの .NET Framework 3.5 のインストールでは、Windows Server ISO をマウントし、スクリプト内のソースベースのインストールオプションのコメントを解除する必要がある場合があります。

Disable-DefenderProtection.ps1

ラボ環境でエクスプロイトツールを実行できるように、Windows Defender の保護を無効にします。

場所: tools/Disable-DefenderProtection.ps1

使用方法:

# Run as Administrator
.\tools\Disable-DefenderProtection.ps1

無効にするもの:

• リアルタイムのウイルス対策監視
• AMSI/スクリプトスキャン
• Web/ダウンロードスキャン（IOAV 保護）
• 動作監視
• クラウドの「初回検出」ブロック

Enable-DefenderProtection.ps1

ラボ使用後に Windows Defender の保護を再び有効にします。

場所: tools/Enable-DefenderProtection.ps1

使用方法:

# Run as Administrator
.\tools\Enable-DefenderProtection.ps1

有効にするもの:

• リアルタイムのウイルス対策監視
• AMSI/スクリプトスキャン
• Web/ダウンロードスキャン（IOAV 保護）
• 動作監視
• クラウドの「初回検出」ブロック

import-workshopiis.ps1

ワークショップの IIS サイト構成をインポートし、脆弱な Web コンテンツを展開する対話型スクリプトです。

場所: import-workshopiis.ps1

使用方法:

# Run as Administrator
.\import-workshopiis.ps1

処理内容:

• サイト名、ルートパス、HTTP ポートをプロンプト表示します（適切なデフォルト値付き）
• content フォルダーを指定されたルートパスにコピーします
• 必要なアプリケーションプールを作成します（レガシーアプリ用の .NET v2.0 プールを含む）
• 構成されたバインドで IIS サイトを作成します
• さまざまな ViewState テストシナリオ用に子アプリケーションをセットアップします

workshop-iis-config.json

参照ラボサーバーからエクスポートされた IIS サイト構造を定義する JSON 構成ファイルです。

場所: workshop-iis-config.json

内容:

• サイトのバインド（HTTP ポート 80、HTTPS ポート 443）
• アプリケーションプールの割り当て
• さまざまなテストシナリオの子アプリケーションパス:
  • /mac/* - MAC 検証が有効なアプリケーション
  • /nomac/* - MAC 検証がないアプリケーション
  • 異なる .NET ランタイムをテストするためのバージョン固有アプリ（v20、v40、v45）

免責事項

このソフトウェアは、純粋に学術研究と効果的な防御技術の開発を目的として作成されており、明示的に許可された場合を除き、システムへの攻撃に使用することを意図したものではありません。プロジェクトメンテナーは、このソフトウェアの誤用について責任を負いません。責任を持って使用してください。

このソフトウェアは個人プロジェクトであり、プロジェクトオーナーや寄稿者の勤務先を含むいかなる企業とも関係ありません。