Exploiting __VIEWSTATE without knowing the secrets
Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2585115637-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FhAv2kYoPrT3n8552GaQU%252Fuploads%252Fgit-blob-ce4fbfd491ab398bd58639023728b416b0758bc1%252Fi3.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=21bc315d&sv=1)
Порада для баг-баунті: зареєструйтесь на Intigriti, преміум платформі для баг-баунті, створеній хакерами для хакерів! Приєднуйтесь до нас на https://go.intigriti.com/hacktricks сьогодні та почніть заробляти винагороди до $100,000!
Що таке ViewState
ViewState служить за замовчуванням механізмом в ASP.NET для збереження даних сторінки та контролю між веб-сторінками. Під час рендерингу HTML сторінки поточний стан сторінки та значення, які потрібно зберегти під час постбека, серіалізуються в рядки, закодовані в base64. Ці рядки потім розміщуються в прихованих полях ViewState.
Інформацію ViewState можна охарактеризувати наступними властивостями або їх комбінаціями:
Base64:
Цей формат використовується, коли обидва атрибути
EnableViewStateMac
таViewStateEncryptionMode
встановлені в false.Base64 + MAC (Код автентифікації повідомлень) увімкнено:
Активація MAC досягається шляхом встановлення атрибута
EnableViewStateMac
в true. Це забезпечує перевірку цілісності даних ViewState.Base64 + Зашифровано:
Шифрування застосовується, коли атрибут
ViewStateEncryptionMode
встановлений в true, що забезпечує конфіденційність даних ViewState.
Тестові випадки
Зображення є таблицею, що детально описує різні конфігурації для ViewState в ASP.NET на основі версії .NET Framework. Ось короткий виклад змісту:
Для будь-якої версії .NET, коли MAC та шифрування вимкнені, MachineKey не потрібен, і, отже, немає застосовного методу для його ідентифікації.
Для версій нижче 4.5, якщо MAC увімкнено, але шифрування вимкнено, потрібен MachineKey. Метод для ідентифікації MachineKey називається "Blacklist3r."
Для версій нижче 4.5, незалежно від того, чи увімкнено MAC, якщо шифрування увімкнено, потрібен MachineKey. Ідентифікація MachineKey є завданням для "Blacklist3r - Future Development."
Для версій 4.5 і вище, всі комбінації MAC та шифрування (незалежно від того, чи обидва істинні, чи один істинний, а інший хибний) вимагають MachineKey. MachineKey можна ідентифікувати за допомогою "Blacklist3r."
Тестовий випадок: 1 – EnableViewStateMac=false та viewStateEncryptionMode=false
Також можливо повністю вимкнути ViewStateMAC, встановивши ключ реєстру AspNetEnforceViewStateMac
в нуль в:
Ідентифікація атрибутів ViewState
Ви можете спробувати визначити, чи захищений ViewState MAC, захопивши запит, що містить цей параметр, за допомогою BurpSuite. Якщо Mac не використовується для захисту параметра, ви можете експлуатувати його, використовуючи YSoSerial.Net
Test case 1.5 – Як тестовий випадок 1, але cookie ViewState не надсилається сервером
Розробники можуть видалити ViewState з HTTP-запиту (користувач не отримає цей cookie). Можна припустити, що якщо ViewState відсутній, їх реалізація є безпечна від будь-яких потенційних вразливостей, що виникають з десеріалізації ViewState. Однак це не так. Якщо ми додамо параметр ViewState до тіла запиту і надішлемо наш серіалізований вантаж, створений за допомогою ysoserial, ми все ще зможемо досягти виконання коду, як показано в Випадку 1.
Test Case: 2 – .Net < 4.5 та EnableViewStateMac=true & ViewStateEncryptionMode=false
Щоб увімкнути ViewState MAC для конкретної сторінки, нам потрібно внести наступні зміни в конкретний файл aspx:
Ми також можемо зробити це для всього застосунку, встановивши це у файлі web.config, як показано нижче:
Оскільки параметр захищений MAC, для успішного виконання атаки спочатку нам потрібен використаний ключ.
Ви можете спробувати використати Blacklist3r(AspDotNetWrapper.exe) , щоб знайти використаний ключ.
Badsecrets - це ще один інструмент, який може ідентифікувати відомі machineKeys. Він написаний на Python, тому, на відміну від Blacklist3r, немає залежності від Windows. Для .NET viewstates є утиліта "python blacklist3r", яка є найшвидшим способом її використання.
Її можна постачати з viewstate та генератором безпосередньо:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fuser-images.githubusercontent.com%2F24899338%2F227034640-662b6aad-f8b9-49e4-9a6b-62a5f6ae2d60.png&width=768&dpr=4&quality=100&sign=23cdf23f&sv=1)
Або він може підключитися безпосередньо до цільового URL і спробувати витягти viewstate з HTML:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fuser-images.githubusercontent.com%2F24899338%2F227034654-e8ad9648-6c0e-47cb-a873-bf97623a0089.png&width=768&dpr=4&quality=100&sign=423fd6f6&sv=1)
Щоб шукати вразливі viewstate в масштабах, разом з перерахунком піддоменів, можна використовувати модуль badsecrets
BBOT:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fuser-images.githubusercontent.com%2F24899338%2F227028780-950d067a-4a01-481f-8e11-41fabed1943a.png&width=768&dpr=4&quality=100&sign=118463af&sv=1)
Якщо вам пощастить і ключ буде знайдено, ви можете продовжити атаку, використовуючи YSoSerial.Net:
У випадках, коли параметр _VIEWSTATEGENERATOR
не надсилається сервером, вам не потрібно надавати параметр --generator
, але ці:
Test Case: 3 – .Net < 4.5 and EnableViewStateMac=true/false and ViewStateEncryptionMode=true
У цьому випадку невідомо, чи захищений параметр за допомогою MAC. Тоді значення, ймовірно, зашифроване, і вам потрібен Machine Key для шифрування вашого payload для експлуатації вразливості.
У цьому випадку Blacklist3r модуль знаходиться в розробці...
Перед .NET 4.5, ASP.NET може приймати незашифрований ___VIEWSTATE
_ параметр від користувачів навіть якщо ViewStateEncryptionMode
було встановлено на Always. ASP.NET лише перевіряє наявність параметра __VIEWSTATEENCRYPTED
у запиті. Якщо видалити цей параметр і надіслати незашифрований payload, він все ще буде оброблений.
Отже, якщо зловмисники знайдуть спосіб отримати Machinekey через іншу вразливість, таку як обходження файлів, YSoSerial.Net команда, використана в Випадку 2, може бути використана для виконання RCE за допомогою вразливості десеріалізації ViewState.
Видаліть параметр
__VIEWSTATEENCRYPTED
з запиту, щоб експлуатувати вразливість десеріалізації ViewState, інакше буде повернено помилку валідації Viewstate MAC, і експлуатація не вдасться.
Test Case: 4 – .Net >= 4.5 and EnableViewStateMac=true/false and ViewStateEncryptionMode=true/false except both attribute to false
Ми можемо примусити використання ASP.NET фреймворку, вказавши нижченаведений параметр у файлі web.config, як показано нижче.
Альтернативно, це можна зробити, вказавши нижченаведений параметр у параметрі machineKey
файлу web.config.
Як і в попередньому випадку, значення зашифроване. Тоді, щоб надіслати дійсний payload, зловмиснику потрібен ключ.
Ви можете спробувати використати Blacklist3r(AspDotNetWrapper.exe) , щоб знайти використовуваний ключ:
Для більш детального опису для IISDirPath та TargetPagePath зверніться сюди
Або, з Badsecrets (з значенням генератора):
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fuser-images.githubusercontent.com%2F24899338%2F227043316-13f0488f-5326-46cc-9604-404b908ebd7b.png&width=768&dpr=4&quality=100&sign=af0ebfe0&sv=1)
Якщо дійсний ключ машини ідентифіковано, наступним кроком є генерація серіалізованого корисного навантаження за допомогою YSoSerial.Net
Якщо у вас є значення __VIEWSTATEGENERATOR
, ви можете спробувати використати параметр --generator
з цим значенням і опустити параметри --path
та --apppath
.
Успішна експлуатація вразливості десеріалізації ViewState призведе до запиту з виходом за межі до сервера, контрольованого зловмисником, який міститиме ім'я користувача. Цей тип експлуатації продемонстровано в доказі концепції (PoC), який можна знайти через ресурс під назвою "Exploiting ViewState Deserialization using Blacklist3r and YsoSerial.NET". Для отримання додаткових деталей про те, як працює процес експлуатації та як використовувати інструменти, такі як Blacklist3r для ідентифікації MachineKey, ви можете переглянути наданий PoC успішної експлуатації.
Тестовий випадок 6 – Використовується ViewStateUserKeys
Властивість ViewStateUserKey може бути використана для захисту від CSRF-атаки. Якщо такий ключ було визначено в додатку, і ми намагаємося згенерувати ViewState корисне навантаження за допомогою методів, обговорених до цього часу, корисне навантаження не буде оброблено додатком. Вам потрібно використовувати ще один параметр, щоб правильно створити корисне навантаження:
Результат успішної експлуатації
Для всіх тестових випадків, якщо корисне навантаження ViewState YSoSerial.Net працює успішно, то сервер відповідає з “500 Internal server error”, маючи вміст відповіді “Інформація про стан недійсна для цієї сторінки і може бути пошкоджена” і ми отримуємо OOB запит.
Перевірте додаткову інформацію тут
Посилання
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2585115637-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FhAv2kYoPrT3n8552GaQU%252Fuploads%252Fgit-blob-ce4fbfd491ab398bd58639023728b416b0758bc1%252Fi3.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=21bc315d&sv=1)
Порада для баг-баунті: зареєструйтесь на Intigriti, преміум платформі для баг-баунті, створеній хакерами, для хакерів! Приєднуйтесь до нас на https://go.intigriti.com/hacktricks сьогодні і почніть заробляти винагороди до $100,000!
Вчіться та практикуйте Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Вчіться та практикуйте Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated