Exploiting __VIEWSTATE without knowing the secrets
Bug bounty tip: meld aan by Intigriti, 'n premium bug bounty platform geskep deur hackers, vir hackers! Sluit vandag by ons aan by https://go.intigriti.com/hacktricks en begin om belonings tot $100,000 te verdien!
What is ViewState
ViewState dien as die standaardmeganisme in ASP.NET om bladsy- en kontroledata oor webblaaie te handhaaf. Tydens die weergawe van 'n bladsy se HTML, word die huidige toestand van die bladsy en waardes wat tydens 'n postback bewaar moet word, in base64-gecodeerde strings geserialiseer. Hierdie strings word dan in versteekte ViewState-velde geplaas.
ViewState-inligting kan gekarakteriseer word deur die volgende eienskappe of hul kombinasies:
Base64:
Hierdie formaat word gebruik wanneer beide
EnableViewStateMac
enViewStateEncryptionMode
eienskappe op vals gestel is.Base64 + MAC (Message Authentication Code) Geaktiveer:
Aktivering van MAC word bereik deur die
EnableViewStateMac
eienskap op waar te stel. Dit bied integriteitsverifikasie vir ViewState-data.Base64 + Geënkripteer:
Enkripsie word toegepas wanneer die
ViewStateEncryptionMode
eienskap op waar gestel is, wat die vertroulikheid van ViewState-data verseker.
Test Cases
Die beeld is 'n tabel wat verskillende konfigurasies vir ViewState in ASP.NET op grond van die .NET-raamwerkweergawe uiteensit. Hier is 'n opsomming van die inhoud:
Vir enige weergawe van .NET, wanneer beide MAC en Enkripsie gedeaktiveer is, is 'n MachineKey nie nodig nie, en dus is daar geen toepaslike metode om dit te identifiseer nie.
Vir weergawe onder 4.5, as MAC geaktiveer is maar Enkripsie nie, is 'n MachineKey nodig. Die metode om die MachineKey te identifiseer, word "Blacklist3r" genoem.
Vir weergawe onder 4.5, ongeag of MAC geaktiveer of gedeaktiveer is, as Enkripsie geaktiveer is, is 'n MachineKey nodig. Die identifisering van die MachineKey is 'n taak vir "Blacklist3r - Toekomstige Ontwikkeling."
Vir weergawe 4.5 en hoër, vereis alle kombinasies van MAC en Enkripsie (of albei waar is, of een waar en die ander vals) 'n MachineKey. Die MachineKey kan geïdentifiseer word met "Blacklist3r."
Test Case: 1 – EnableViewStateMac=false and viewStateEncryptionMode=false
Dit is ook moontlik om die ViewStateMAC heeltemal te deaktiveer deur die AspNetEnforceViewStateMac
register sleutel op nul te stel in:
Identifisering van ViewState Attribuut
Jy kan probeer om te identifiseer of ViewState MAC beskerm is deur 'n versoek te vang wat hierdie parameter bevat met BurpSuite. As Mac nie gebruik word om die parameter te beskerm nie, kan jy dit benut met YSoSerial.Net
Test case 1.5 – Soos Test case 1, maar die ViewState koekie word nie deur die bediener gestuur nie
Ontwikkelaars kan ViewState verwyder sodat dit nie deel van 'n HTTP-versoek word nie (die gebruiker sal nie hierdie koekie ontvang nie). Mens kan aanneem dat as ViewState nie teenwoordig is nie, hul implementering veilig is teen enige potensiële kwesbaarhede wat met ViewState deserialisering ontstaan. Maar dit is nie die geval nie. As ons die ViewState parameter by die versoekliggaam voeg en ons geserialiseerde payload wat met ysoserial geskep is, stuur, sal ons steeds in staat wees om kode-uitvoering te bereik soos in Case 1 gewys.
Test Case: 2 – .Net < 4.5 en EnableViewStateMac=true & ViewStateEncryptionMode=false
Om ViewState MAC vir 'n spesifieke bladsy te aktiveer, moet ons die volgende veranderinge aan 'n spesifieke aspx-lêer maak:
Ons kan dit ook doen vir die oorhoofse toepassing deur dit in die web.config lêer te stel soos hieronder getoon:
Aangesien die parameter MAC beskerm is, moet ons eers die sleutel wat gebruik is, hê om die aanval suksesvol uit te voer.
Jy kan probeer om Blacklist3r(AspDotNetWrapper.exe) te gebruik om die sleutel te vind wat gebruik is.
Badsecrets is 'n ander hulpmiddel wat bekende machineKeys kan identifiseer. Dit is in Python geskryf, so anders as Blacklist3r, is daar geen Windows afhanklikheid nie. Vir .NET viewstates is daar 'n "python blacklist3r" nut, wat die vinnigste manier is om dit te gebruik.
Dit kan of voorsien word van die viewstate en generator direk:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fuser-images.githubusercontent.com%2F24899338%2F227034640-662b6aad-f8b9-49e4-9a6b-62a5f6ae2d60.png&width=768&dpr=4&quality=100&sign=23cdf23f&sv=1)
Of, dit kan direk met die teiken-URL verbind en probeer om die viewstate uit die HTML te sny:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fuser-images.githubusercontent.com%2F24899338%2F227034654-e8ad9648-6c0e-47cb-a873-bf97623a0089.png&width=768&dpr=4&quality=100&sign=423fd6f6&sv=1)
Om op groot skaal na kwesbare viewstates te soek, in samewerking met subdomein-opsomming, kan die badsecrets
BBOT module gebruik word:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fuser-images.githubusercontent.com%2F24899338%2F227028780-950d067a-4a01-481f-8e11-41fabed1943a.png&width=768&dpr=4&quality=100&sign=118463af&sv=1)
As jy gelukkig is en die sleutel gevind word, kan jy voortgaan met die aanval met behulp van YSoSerial.Net:
In gevalle waar die _VIEWSTATEGENERATOR
parameter nie gestuur word deur die bediener nie, hoef jy nie die --generator
parameter te verskaf nie, maar hierdie:
Toetsgeval: 3 – .Net < 4.5 en EnableViewStateMac=true/false en ViewStateEncryptionMode=true
In hierdie geval is dit nie bekend of die parameter met MAC beskerm word nie. Dan is die waarde waarskynlik geënkripteer en jy sal die Masjien Sleutel nodig hê om jou payload te enkripteer om die kwesbaarheid te benut.
In hierdie geval is die Blacklist3r module in ontwikkeling...
Voor .NET 4.5 kan ASP.NET 'n ongeënkripteerde ___VIEWSTATE
_parameter van die gebruikers aanvaar selfs as ViewStateEncryptionMode
op Altijd gestel is. ASP.NET kontroleer slegs die teenwoordigheid van die __VIEWSTATEENCRYPTED
parameter in die versoek. As 'n mens hierdie parameter verwyder, en die ongeënkripteerde payload stuur, sal dit steeds verwerk word.
Daarom, as die aanvallers 'n manier vind om die Masjien Sleutel via 'n ander kwesbaarheid soos lêer traversering te verkry, kan die YSoSerial.Net opdrag wat in die Geval 2 gebruik is, gebruik word om RCE uit te voer met behulp van die ViewState deserialisering kwesbaarheid.
Verwyder die
__VIEWSTATEENCRYPTED
parameter uit die versoek om die ViewState deserialisering kwesbaarheid te benut, anders sal dit 'n Viewstate MAC valideringsfout teruggee en die uitbuiting sal misluk.
Toetsgeval: 4 – .Net >= 4.5 en EnableViewStateMac=true/false en ViewStateEncryptionMode=true/false behalwe albei eienskappe op false
Ons kan die gebruik van die ASP.NET raamwerk afdwing deur die onderstaande parameter in die web.config-lêer soos hieronder aan te dui.
Alternatiewelik kan dit gedoen word deur die onderstaande opsie binne die machineKey
parameter van die web.config-lêer te spesifiseer.
Soos in die vorige is die waarde geënkripteer. Dan, om 'n geldige payload te stuur, het die aanvaller die sleutel nodig.
Jy kan probeer om Blacklist3r(AspDotNetWrapper.exe) te gebruik om die sleutel te vind wat gebruik word:
Vir 'n meer gedetailleerde beskrywing van IISDirPath en TargetPagePath verwys hier
Of, met Badsecrets (met 'n generator waarde):
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fuser-images.githubusercontent.com%2F24899338%2F227043316-13f0488f-5326-46cc-9604-404b908ebd7b.png&width=768&dpr=4&quality=100&sign=af0ebfe0&sv=1)
Sodra 'n geldige masjiensleutel geïdentifiseer is, is die volgende stap om 'n geserialiseerde payload te genereer met behulp van YSoSerial.Net
If you have the value of __VIEWSTATEGENERATOR
you can try to use the --generator
parameter with that value and omit the parameters --path
and --apppath
'n Succesvolle uitbuiting van die ViewState deserialisering kwesbaarheid sal lei tot 'n uit-of-band versoek na 'n aanvaller-beheerde bediener, wat die gebruikersnaam insluit. Hierdie tipe uitbuiting word gedemonstreer in 'n bewys van konsep (PoC) wat gevind kan word deur 'n hulpbron met die titel "Exploiting ViewState Deserialization using Blacklist3r and YsoSerial.NET". Vir verdere besonderhede oor hoe die uitbuitingsproses werk en hoe om gereedskap soos Blacklist3r te gebruik om die MachineKey te identifiseer, kan jy die verskafde PoC van Succesvolle Uitbuiting hersien.
Toetsgeval 6 – ViewStateUserKeys word gebruik
Die ViewStateUserKey eienskap kan gebruik word om te verdedig teen 'n CSRF-aanval. As so 'n sleutel in die toepassing gedefinieer is en ons probeer om die ViewState payload te genereer met die metodes wat tot nou toe bespreek is, sal die payload nie deur die toepassing verwerk word. Jy moet een meer parameter gebruik om die payload korrek te skep:
Resultaat van 'n Suksesvolle Exploit
Vir al die toets gevalle, as die ViewState YSoSerial.Net payload werk suksesvol dan reageer die bediener met “500 Interne bediener fout” met die responsinhoud “Die staatinligting is ongeldig vir hierdie bladsy en mag beskadig wees” en ons kry die OOB versoek.
Kontroleer vir verdere inligting hier
Verwysings
Bug bounty wenk: meld aan by Intigriti, 'n premium bug bounty platform geskep deur hackers, vir hackers! Sluit by ons aan by https://go.intigriti.com/hacktricks vandag, en begin verdien belonings tot $100,000!
Last updated