Exploiting __VIEWSTATE without knowing the secrets
Wskazówka dotycząca bug bounty: zarejestruj się w Intigriti, premium platformie bug bounty stworzonej przez hackerów, dla hackerów! Dołącz do nas na https://go.intigriti.com/hacktricks już dziś i zacznij zarabiać nagrody do 100 000 USD!
Czym jest ViewState
ViewState służy jako domyślny mechanizm w ASP.NET do utrzymywania danych strony i kontrolki pomiędzy stronami internetowymi. Podczas renderowania HTML strony, bieżący stan strony i wartości do zachowania podczas postbacku są serializowane do ciągów zakodowanych w base64. Te ciągi są następnie umieszczane w ukrytych polach ViewState.
Informacje o ViewState można scharakteryzować następującymi właściwościami lub ich kombinacjami:
Base64:
Ten format jest wykorzystywany, gdy zarówno atrybuty
EnableViewStateMac
, jak iViewStateEncryptionMode
są ustawione na false.Base64 + MAC (Kod uwierzytelniania wiadomości) włączony:
Aktywacja MAC osiągana jest przez ustawienie atrybutu
EnableViewStateMac
na true. Zapewnia to weryfikację integralności danych ViewState.Base64 + Szyfrowany:
Szyfrowanie jest stosowane, gdy atrybut
ViewStateEncryptionMode
jest ustawiony na true, zapewniając poufność danych ViewState.
Przypadki testowe
Obrazek to tabela szczegółowo opisująca różne konfiguracje dla ViewState w ASP.NET w zależności od wersji frameworka .NET. Oto podsumowanie treści:
Dla wszystkich wersji .NET, gdy zarówno MAC, jak i Szyfrowanie są wyłączone, MachineKey nie jest wymagany, a zatem nie ma zastosowanej metody do jego identyfikacji.
Dla wersji poniżej 4.5, jeśli MAC jest włączony, ale Szyfrowanie nie, wymagany jest MachineKey. Metoda identyfikacji MachineKey nazywa się "Blacklist3r."
Dla wersji poniżej 4.5, niezależnie od tego, czy MAC jest włączony, czy wyłączony, jeśli Szyfrowanie jest włączone, wymagany jest MachineKey. Identyfikacja MachineKey to zadanie dla "Blacklist3r - Future Development."
Dla wersji 4.5 i wyższych, wszystkie kombinacje MAC i Szyfrowania (czy to obie są true, czy jedna jest true, a druga false) wymagają MachineKey. MachineKey można zidentyfikować za pomocą "Blacklist3r."
Przypadek testowy: 1 – EnableViewStateMac=false i viewStateEncryptionMode=false
Możliwe jest również całkowite wyłączenie ViewStateMAC, ustawiając klucz rejestru AspNetEnforceViewStateMac
na zero w:
Identyfikacja atrybutów ViewState
Możesz spróbować zidentyfikować, czy ViewState jest chroniony przez MAC, przechwytując żądanie zawierające ten parametr za pomocą BurpSuite. Jeśli MAC nie jest używany do ochrony parametru, możesz go wykorzystać za pomocą YSoSerial.Net
Test case 1.5 – Jak test case 1, ale cookie ViewState nie jest wysyłane przez serwer
Programiści mogą usunąć ViewState z stania się częścią żądania HTTP (użytkownik nie otrzyma tego cookie). Można założyć, że jeśli ViewState jest nieobecny, ich implementacja jest bezpieczna przed wszelkimi potencjalnymi lukami związanymi z deserializacją ViewState. Jednak nie jest to prawda. Jeśli dodamy parametr ViewState do ciała żądania i wyślemy nasz zserializowany ładunek stworzony za pomocą ysoserial, nadal będziemy w stanie osiągnąć wykonanie kodu, jak pokazano w Przypadku 1.
Test Case: 2 – .Net < 4.5 i EnableViewStateMac=true & ViewStateEncryptionMode=false
Aby włączyć ViewState MAC dla konkretnej strony, musimy wprowadzić następujące zmiany w konkretnym pliku aspx:
Możemy to również zrobić dla całej aplikacji, ustawiając to w pliku web.config, jak pokazano poniżej:
Ponieważ parametr jest chroniony przez MAC, aby pomyślnie przeprowadzić atak, najpierw musimy zdobyć użyty klucz.
Możesz spróbować użyć Blacklist3r(AspDotNetWrapper.exe) , aby znaleźć użyty klucz.
Badsecrets to kolejne narzędzie, które może zidentyfikować znane machineKeys. Jest napisane w Pythonie, więc w przeciwieństwie do Blacklist3r, nie ma zależności od Windows. Dla .NET viewstates istnieje narzędzie "python blacklist3r", które jest najszybszym sposobem na jego użycie.
Można je dostarczyć z viewstate i generatorem bezpośrednio:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fuser-images.githubusercontent.com%2F24899338%2F227034640-662b6aad-f8b9-49e4-9a6b-62a5f6ae2d60.png&width=768&dpr=4&quality=100&sign=23cdf23f&sv=1)
Lub może połączyć się bezpośrednio z docelowym URL i spróbować wydobyć viewstate z HTML:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fuser-images.githubusercontent.com%2F24899338%2F227034654-e8ad9648-6c0e-47cb-a873-bf97623a0089.png&width=768&dpr=4&quality=100&sign=423fd6f6&sv=1)
Aby wyszukiwać podatne viewstate'y na dużą skalę, w połączeniu z enumeracją subdomen, można użyć modułu badsecrets
BBOT:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fuser-images.githubusercontent.com%2F24899338%2F227028780-950d067a-4a01-481f-8e11-41fabed1943a.png&width=768&dpr=4&quality=100&sign=118463af&sv=1)
Jeśli masz szczęście i klucz zostanie znaleziony, możesz kontynuować atak używając YSoSerial.Net:
W przypadkach, gdy parametr _VIEWSTATEGENERATOR
nie jest wysyłany przez serwer, nie musisz podawać parametru --generator
, ale te:
Test Case: 3 – .Net < 4.5 i EnableViewStateMac=true/false oraz ViewStateEncryptionMode=true
W tym przypadku nie wiadomo, czy parametr jest chroniony za pomocą MAC. Wtedy wartość jest prawdopodobnie zaszyfrowana i będziesz potrzebować klucza maszyny, aby zaszyfrować swój ładunek w celu wykorzystania luki.
W tym przypadku Blacklist3r moduł jest w trakcie rozwoju...
Przed .NET 4.5, ASP.NET może akceptować niezaszyfrowany ___VIEWSTATE
_ parametr od użytkowników nawet jeśli ViewStateEncryptionMode
został ustawiony na Zawsze. ASP.NET sprawdza tylko obecność parametru __VIEWSTATEENCRYPTED
w żądaniu. Jeśli usuniemy ten parametr i wyślemy niezaszyfrowany ładunek, nadal zostanie on przetworzony.
Dlatego jeśli atakujący znajdą sposób na uzyskanie klucza maszyny za pomocą innej luki, takiej jak przejście przez pliki, pole YSoSerial.Net użyte w Przypadku 2, może być użyte do przeprowadzenia RCE przy użyciu luki w deserializacji ViewState.
Usuń parametr
__VIEWSTATEENCRYPTED
z żądania, aby wykorzystać lukę w deserializacji ViewState, w przeciwnym razie zwróci błąd walidacji MAC Viewstate i exploit się nie powiedzie.
Test Case: 4 – .Net >= 4.5 i EnableViewStateMac=true/false oraz ViewStateEncryptionMode=true/false z wyjątkiem obu atrybutów ustawionych na false
Możemy wymusić użycie frameworka ASP.NET, określając poniższy parametr w pliku web.config, jak pokazano poniżej.
Alternatywnie, można to zrobić, określając poniższą opcję wewnątrz parametru machineKey
w pliku web.config.
Jak w poprzednim przypadku wartość jest szyfrowana. Następnie, aby wysłać ważny ładunek, atakujący potrzebuje klucza.
Możesz spróbować użyć Blacklist3r(AspDotNetWrapper.exe) , aby znaleźć używany klucz:
Dla bardziej szczegółowego opisu dla IISDirPath i TargetPagePath zobacz tutaj
Lub, z Badsecrets (z wartością generatora):
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fuser-images.githubusercontent.com%2F24899338%2F227043316-13f0488f-5326-46cc-9604-404b908ebd7b.png&width=768&dpr=4&quality=100&sign=af0ebfe0&sv=1)
Gdy zostanie zidentyfikowany ważny klucz maszyny, następnym krokiem jest wygenerowanie zserializowanego ładunku za pomocą YSoSerial.Net
Jeśli masz wartość __VIEWSTATEGENERATOR
, możesz spróbować użyć parametru --generator
z tą wartością i pominąć parametry --path
i --apppath
.
Sukces w wykorzystaniu luki w deserializacji ViewState doprowadzi do żądania out-of-band do serwera kontrolowanego przez atakującego, które zawiera nazwę użytkownika. Tego rodzaju exploit jest demonstrowany w dowodzie koncepcji (PoC), który można znaleźć w zasobie zatytułowanym "Exploiting ViewState Deserialization using Blacklist3r and YsoSerial.NET". Aby uzyskać więcej informacji na temat tego, jak działa proces eksploatacji i jak wykorzystać narzędzia takie jak Blacklist3r do identyfikacji MachineKey, możesz zapoznać się z dostarczonym PoC of Successful Exploitation.
Test Case 6 – Używana jest ViewStateUserKeys
Właściwość ViewStateUserKey może być używana do obrony przed atakami CSRF. Jeśli taki klucz został zdefiniowany w aplikacji i próbujemy wygenerować ładunek ViewState za pomocą metod omówionych do tej pory, ładunek nie zostanie przetworzony przez aplikację. Musisz użyć jeszcze jednego parametru, aby poprawnie utworzyć ładunek:
Wynik udanej eksploitacji
Dla wszystkich przypadków testowych, jeśli ładunek ViewState YSoSerial.Net działa pomyślnie, serwer odpowiada “500 Internal server error” z treścią odpowiedzi “Informacje o stanie są nieprawidłowe dla tej strony i mogą być uszkodzone” i otrzymujemy żądanie OOB.
Sprawdź dalsze informacje tutaj
Odniesienia
Tip dotyczący bug bounty: zarejestruj się w Intigriti, premium platformie bug bounty stworzonej przez hackerów, dla hackerów! Dołącz do nas na https://go.intigriti.com/hacktricks już dziś i zacznij zarabiać nagrody do 100 000 USD!
Last updated