dotnetpaddingoracle

.NET Web アプリケーションが padding Oracle に対して脆弱かどうかをチェックする小さなスクリプトです。 このスクリプトは、パッチが適用されたかどうかだけでなく、オラクルが存在し悪用可能かどうかを実際に検証します。

使い方

dotnetpaddingoracle.py [-h] [-t] [-b] [-d] [-s] [-p PARAMETER] Burp request file

Perform the padding Oracle attack on .NET web application
positional arguments:
Burp request file     Request sample from Burp
optional arguments:

-h, --help            show this help message and exit

-t, --test-vuln       Test for the padding Oracle vulnerability

-b, --no-burp         Disable Burp proxying

-d, --decrypt         Decrypt

-s, --ssl             use ssl transport

-p PARAMETER, --parameter PARAMETER

                      Parameter to use as Oracle

いくつかのヒント

• 該当するケースでは必ず 'ssl' フラグを使用してください。これを使用しないと偽陰性の結果につながる可能性があります。
• 証明書の検証は全体として無効化されています。
• Burp リクエストファイルは、Burp の "copy to file" 機能で取得したもの（プレーンテキストファイル）のみを使用してください。
• 一般的に言えば、スクリプトが適切なパラメータを自動的に選択するため、"-p" フラグは必要ありません。
• デフォルトでは、スクリプトはデバッグ目的で 127.0.0.1:8080 を介して Burp 経由の接続を試みます（値を変更するには mtools.py スクリプトを確認してください）。これは "-b" フラグで無効化できます。

制限事項

• このスクリプトは Windows システムではおそらく動作しません。
• 正しく実行するには、少なくとも Python 3.2 が必要です（または argparse モジュールを使用した Python > 3.0）。
• 暗号化には対応していません（時間とテストデータが不足していたため）。この用途には引き続き padbuster が必要です。ただし、スクリプトは null IV と、padbuster で使用できる有効なブロックを提供します。