文章总结： 这篇文章介绍了一次.NET代码审计中通过machineKey伪造任意用户身份的技术。作者在审计一套.NETBPM系统时，发现虽然存在多个漏洞但大部分需要身份验证。通过分析系统使用微软FormsAuthentication类进行身份认证，作者利用web.config中的machineKey成功伪造了.ASPXAUTHcookie值，实现了管理员身份伪造。文章指出在只有任意文件下载漏洞的场景下，结合machineKey可能是一种新的突破方式。
综合评分： 91
文章分类： 代码审计,漏洞分析,WEB安全,渗透测试,安全工具
记一次.Net代码审计-通过machineKey伪造任意用户身份
原创
Nick
M78安全团队
2021年2月3日 13:49
温馨提示
本文章仅供学习交流使用，文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途以及盈利等目的，否则后果自行承担！
0x01 起因
某次机缘巧合，领导给了一套国内某主流.net BPM系统源码，要求审计，于是便开始了这次审计之旅。。。
BPM（业务流程管理系统），这套系统采用前后端分离架构，前端ExtJS，后端.net的一般处理程序+windows服务开放socket端口1580，一般处理程序与服务器本地1580端口通信。数据库Oracle/SQLServer等。
环境搭建好后，使用VS打开站点，使用附加到进程，选择IIS进程，开启调试，配合Reflector查看DLL封装。
0x02 场景
看了没多久发现一个任意文件下载的漏洞，SQL注入，文件上传任意代码执行也存在.
但是只有任意文件文件下载是不需要验证的，其他漏洞都需要验证身份后才能利用成功，如何才能获取一个身份扩大利用面呢？
仔细查看登录逻辑代码并不存在sql注入，系统支持中文，数字，字母格式的用户名，弱口令也是不好搞的，况且也未发现敏感信息泄露。
等等，不是还有任意文件下载吗？下载web.config后数据库直连不可以吗，还真不行，由于业务流程一般涉及到企业的核心，基本都部署在内网，通过NAT方式映射到公网访问，或者纯内网方式访问不对外，这类情况基本没有对外映射数据库端口的（主要看运气）。
仔细观察登录后的身份信息：
Cookie: ys-dLogin.PositionId=xxx;ys-dLogin.UserId=xxxxxx;ASP.NET_SessionId=atn2xhww13wfclf3ycs1045l;UserDisplayName=xxxxxxx;.ASPXAUTH=DCD91077D0C3FAF548406C2E885A9E202C7D16C832E9.......
使用这个session通过PostMan调用后端接口发现其真正具有身份验证功能的只有.ASPXAUTH这个值。那么这个值是否可以伪造？
答案是肯定的。web.config除了数据库配置之外，还有这个：
<machineKeyvalidationKey="ABAA84D7EC4BB56D75D237CECFFB9628809BDB8.............." decryptionKey="ABAA84D7EC4BB56D75D237CECFFB9628809BDB8.............."validation="SHA1"decryption="AES"/>
看到这里老.net开发肯定就明白是怎么回事了.
是的，这套系统使用了微软FormsAuthentication类作为身份认证。
该类的实现方法在System.Web.dll，通过该认证，可以把用户Name 和部分用户数据存储在Cookie中，通过基本的条件设置可以，很简单的实现基本的身份角色认证。
FormsAuthenticationTicket类用于创建一个对象，该对象表示 forms 身份验证用于标识已经过身份验证的用户的身份验证票证。Forms 身份验证票证的属性和值与存储在 cookie 或 URL 中的加密字符串进行转换。
FormsAuthentication类提供了一个 Encrypt 方法，用于创建一个字符串值，该字符串值可以存储在 cookie 中，也可以存储在 URL 中 FormsAuthenticationTicket 。FormsAuthentication类还提供了一 个Decrypt 方法，用于 FormsAuthenticationTicket 根据从 forms 身份验证 cookie 或 URL 检索到的加密的身份验证票证来创建对象。
FormsAuthenticationTicket可使用类的属性访问当前经过身份验证的用户的 Ticket FormsIdentity 。可以 FormsIdentity 通过 Identity 将当前的属性转换 User 为类型来访问当前的对象 FormsIdentity 。
根据微软MSDN，生成Cookie的 Demo：
那么知道了怎么生成的，于是定位到代码的Login方法,关键逻辑如下：
首先从上下文获取请求中的key，此key为页面Load时由后端动态生成的，然后分别获取加密后的用户名和密码，使用key进行解密，调用：
此函数调用了后端的windows服务，逻辑复杂，命名不规范（个人水平菜…），总之没找到生成规则，推测是和web.config定义的SecurityKey有关，这个函数返回一个token，该token并不产生变化，所以可以写死。
继续跟入：
这里就出现了熟悉的画面了：
所以简单写个工具，把machineKey放入app.config中：
接下来就是Burpsuit一把梭，拦截响应头信息，替换cookie值，放包，刷新页面，成功伪造默认管理员用户登陆。
因此.Net程序在某些只有任意文件下载的场景下，配合web.config的machineKey或许有新突破。
关注我们
一线渗透测试、红队技术文章有你好看！
往期推荐
[
QQ真的会窃取你的浏览器记录吗？](http://mp.weixin.qq.com/s?_biz=Mzk0NDE4MzE5MA==&mid=2247485937&idx=1&sn=22afb97e47728f1cdf256da024678f9e&chksm=c329cb08f45e421e65e3ebc95771817d01fe4cf173dee8d82f50d09c578dcd4271c4abeab665&scene=21#wechatredirect)
[
[渗透实战]第三方组件出奇迹(日常福利)](http://mp.weixin.qq.com/s?_biz=Mzk0NDE4MzE5MA==&mid=2247484902&idx=1&sn=39e904684f37bbbbeeffc939120b2969&chksm=c329c71ff45e4e098ac243aae7cfd4434466cc5e7cc49839c2418732c7c44a93f90a0e3bad34&scene=21#wechatredirect)
#
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：M78安全团队 Nick《记一次.Net代码审计-通过machineKey伪造任意用户身份》