Oracle 填充漏洞利用 - 它如何下载 web.config？答案

【问题标题】：Oracle padding exploit - how does it download the web.config?Oracle 填充漏洞利用 - 它如何下载 web.config？
【发布时间】：2011-04-14 12:38:51
【问题描述】：

我知道在 SO 上已经有一些关于 oracle padding 漏洞的问题，但没有一个解释它是如何下载 web.config 的。我运行了几个 ASP .NET 应用程序，我已经使用 Microsoft 推荐的缓解因素进行了测试，但我仍然担心人们将能够获得 web.config。

谁能解释一下他们是如何做到这一点的，甚至可以提供一个指向我可以用来测试我的网站的工具的链接。我发现官方对这部分攻击的解释实在是太缺乏了。

中显示的攻击 public 依赖于 ASP.NET 中的一个特性允许文件（通常 javascript和css）要下载，并用一把钥匙保护作为请求的一部分发送。不幸的是，如果你能够伪造一键，您可以使用此功能下载一个 web.config 文件应用程序（但不是应用程序）。

【问题讨论】：

@redsquare 有点鸵鸟的行为，你不觉得吗？
@Anton Gogolev 一点也不，你不认为他们（Scott Gu 等人）如果想要在公共领域发布这些信息。
@redsquare：这还不够好。如果您经营一个大型生产 asp.net 网站，该网站可能也是一项业务，您会同意。
我当然会。所以我可以证明我已经修复了它。对我来说，仅仅实施“修复”是不够的，而是最终证明我们已经“修复了某些东西”。
@redsquare：漏洞利用已经在野外，和缓解变通办法已经发布 - 发布漏洞利用细节会如何伤害？恕我直言，详细信息可能有助于 1）进一步保护您的网站，2）避免在您自己的代码中犯一些相同的错误。

标签： asp.net security padding-oracle-attack

【解决方案1】：

Scott Guthrie 有一个帖子在一定程度上解释了它。

【讨论】：

“在密码学的上下文中，预言机是一个系统，它会在你提出问题时提供提示。”与甲骨文（软件制造商）无关。 Oracle PR 对这里的命名法非常满意......
这篇文章对提问者想知道的 web.config 的细节没有帮助

【解决方案2】：

伙计们 - 答案是，一旦他们获得 machineKey，他们就可以使用该密钥通过 ASP.NET 中的另一个功能来获取文件

“在 ASP.NET 3.5 Service Pack 1 和 ASP.NET 4.0 中，有一个功能用于从应用程序中提供文件。此功能通常受机器密钥保护。但是，如果机器密钥被泄露，那么此功能受到威胁。这直接进入 ASP.NET 而不是 IIS，因此 IIS 的安全设置不适用。一旦此功能受到威胁，攻击者就可以从您的应用程序下载文件 - 包括 web.config 文件，该文件通常包含密码。

ASP.NET 3.5 SP1 之前的 ASP.NET 版本没有此功能，但仍然容易受到主机密钥攻击。”

（请参阅此处底部的帖子：来自 asp.net 团队的http://forums.asp.net/t/1603799.aspx）

【讨论】：

此“功能”似乎由 WebResource.axd 和/或 ScriptResource.axd 文件提供。我还没有看到确认禁用/删除这些将解决 web.config 文件泄露问题，但似乎有可能。看起来攻击可能能够检索机器密钥，这是攻击这些文件的先决条件。
我已经尝试将 WebResource.axd 方法与 ClientScript 方法一起使用，据我所知，您希望以这种方式提供服务的文件不仅需要构建为嵌入式资源，而且您还需要在 AssembilyInfo 中添加声明。如果我没有做任何这些，这个漏洞是如何工作的？它是如何得到像 web.config 这样重要的东西的？

【解决方案3】：

这篇博文很有意思：http://www.gdssecurity.com/l/b/

还读到： How serious is this new ASP.NET security vulnerability and how can I workaround it?

【讨论】：

【解决方案4】：

afaik 是这样的：

这些被命中：webresource.axd 和 scriptresource.axd，都使用加密/签名值，asp.net 会尝试检查其是否有效
由于文件有效或无效时的响应不同，它们可以进行填充攻击。
一旦攻击成功，他们就可以生成对资源的请求，就好像它最初是从 asp.net 发出的一样

现在，据我所知，这两个都应该服务于嵌入式资源，但我想情况并非如此（Scott Gu 在他的帖子中确实提到了这些是在攻击中使用的那些）。

【讨论】：

【解决方案5】：

以下帖子可能对此线程感兴趣：

http://blog.mindedsecurity.com/2010/10/breaking-net-encryption-with-or-without.html

【讨论】：

【解决方案6】：

仅供参考，此错误的补丁已在 Windows Update 上发布。

http://weblogs.asp.net/scottgu/archive/2010/09/30/asp-net-security-fix-now-on-windows-update.aspx

【讨论】：