dp_cryptomg

Outra ferramenta para explorar o CVE-2017-9248, uma fraqueza criptográfica no manipulador de diálogo do Telerik UI para ASP.NET AJAX. A exploração leva ao acesso a um utilitário de gerenciamento de arquivos capaz de fazer upload de arquivos arbitrários, geralmente resultando em execução remota de código.

A vulnerabilidade é causada por um vazamento de informações através de mensagens de erro durante a descriptografia dos "DialogParameters" do Telerik, que são uma série de valores de configuração criptografados. Esses valores são fornecidos ao usuário e depois enviados de volta ao servidor como entrada do usuário. As informações vazadas sobre o processo de descriptografia permitem a descoberta sistemática da chave Telerik.Web.UI.DialogParametersEncryptionKey. Para um mergulho profundo na vulnerabilidade e em como a ferramenta funciona, visite nossa postagem no blog: https://blog.blacklanternsecurity.com/p/yet-another-telerik-ui-revisit.

Agradecimentos

• A ferramenta original para explorar o CVE-2017-9248, dp_crypto, foi inestimável para construir esta. Sem mencionar que nos rendeu muitos RCEs ao longo dos anos :)

• A pesquisa da SR Labs em sua postagem no blog Achieving Telerik Remote Code Execution 100 Time Faster foi a base para a técnica usada nesta ferramenta e nos inspirou a criá-la.

Uso

Exemplo (Uso básico):

python3 dp_cryptomg.py http://example.com/Telerik.Web.UI.DialogHandler.aspx

Exemplo (Definindo comprimento de chave personalizado e usando um proxy)

python3 dp_cryptomg.py -l 40 -p http://127.0.0.1:8080  http://example.com/Telerik.Web.UI.DialogHandler.aspx

usage: dp_cryptomg.py [-h] [-d] [-c COOKIE] [-k KNOWN_KEY] [-v VERSION] [-l LENGTH] [-p PROXY] [-s] [-S] url

argumentos posicionais:
  url                   A URL alvo

argumentos opcionais:
  -h, --help            mostra esta mensagem de ajuda e sai
  -d, --debug           Ativa o modo de depuração
  -c COOKIE, --cookie COOKIE
                        Adiciona cabeçalho de cookie opcional a cada requisição
  -k KNOWN_KEY, --known-key KNOWN_KEY
                        A chave conhecida parcial ou completa, em formato HEX
  -v VERSION, --version VERSION
                        Especifica a versão do Telerik, se conhecida
  -l LENGTH, --length LENGTH
                        O comprimento da chave, se conhecido
  -p PROXY, --proxy PROXY
                        Opcionalmente define um proxy HTTP
  -s, --simple          Desliga a interface sofisticada
  -S, --super-simple    Desliga a interface sofisticada e mostra saída mínima
  -q, --quick-check     Apenas detecta vulnerabilidade provável e pula exploração (força modo simples)

Características

• Maior velocidade em relação a ferramentas anteriores
• Capaz de recuperar chave tanto do endpoint Telerik.Web.UI.DialogHandler.aspx quanto do Telerik.Web.UI.SpellCheckHandler.axd
• Suporte embutido a proxy HTTP
• Capaz de adicionar um cabeçalho de cookie personalizado a cada requisição

Notas Importantes

• Se o comprimento da chave não for o padrão de 48, você deve especificar manualmente o comprimento com o parâmetro -l
• Se você tiver problemas com a interface "sofisticada", pode desativá-la com as opções -s ou -S. Isso também aumentará ligeiramente a velocidade do processo de exploração.

Referências

• CVE-2017-9248 - https://nvd.nist.gov/vuln/detail/CVE-2017-9248
• Fraqueza Criptográfica da Base de Conhecimento do Telerik - https://docs.telerik.com/devtools/aspnet-ajax/knowledge-base/common-cryptographic-weakness
• dp_crypto - https://github.com/bao7uo/dp_crypto
• Telerik 100 Vezes Mais Rápido - https://www.srlabs.de/bites/telerik-100-times-faster
• Pwnando Aplicações Web via Telerik Web UI - https://captmeelo.com/pentest/2018/08/03/pwning-with-telerik.html