hunt-aspnet

⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Porta de confirmação obrigatória Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato, IP, conta ou recurso alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Alvos Principais (Crown Jewel Targets)

Falhas de desserialização em ASP.NET pagam valores entre os mais altos em bug bounty quando resultam em RCE (Remote Code Execution). Mesmo quando corrigidas, as descobertas de nível de divulgação (ViewState apenas com assinatura, diferencial de parser duplo, peculiaridades do request-validator) pagam de forma confiável de Baixo a Médio.

Alvos de maior valor:

• Fazendas SharePoint (qualquer versão — 2013/2016/2019/SE) — ViewState apenas com assinatura + ToolPane.aspx permissivo + FormDigest anônimo criam a cadeia de pré-condições CVE-2025-53770 ToolShell
• Telerik UI para ASP.NET AJAX — Telerik.Web.UI.WebResource.axd é um destino RCE documentado quando as chaves vazam (CVE-2017-11317, CVE-2017-11357, CVE-2019-18935)
• Aplicativos corporativos clássicos ASP.NET Webforms — portais bancários, portais de concessionárias, sistemas de RH deixados no .NET Framework 4.x
• Serviços WCF (*.svc?WSDL) — endpoints de administração frequentemente esquecidos com autenticação mais flexível que o aplicativo principal
• Sitecore CMS — ViewState + cadeias de desserialização específicas do Sitecore (CVE-2021-42237)
• DotNetNuke (DNN) — cadeias históricas de RCE com ViewState
• Umbraco CMS — ViewState + destinos de desserialização personalizados

Tipos de ativos que pagam mais: aplicativos ASP.NET Webforms acessíveis pela internet > serviços de administração WCF > sites com Telerik integrado > ASP.NET MVC clássico com VSF (muito raro)

Sinais da Superfície de Ataque (Attack Surface Signals)

Cabeçalhos de resposta indicando ASP.NET:

X-AspNet-Version: 4.0.30319          (classic — disclosure on its own)
X-Powered-By: ASP.NET
X-AspNetMvc-Version: 5.2
Server: Microsoft-IIS/10.0
Set-Cookie: ASP.NET_SessionId=...
Set-Cookie: .ASPXAUTH=...            (Forms auth cookie)
Set-Cookie: .ASPXFORMSAUTH=...
Set-Cookie: ASP.NET_SessionId=...; SameSite=None  (suggests cross-origin embedding)

Sinais no corpo (em HTML de formulário):

<input type="hidden" name="__VIEWSTATE" id="__VIEWSTATE" value="..." />
<input type="hidden" name="__VIEWSTATEGENERATOR" id="__VIEWSTATEGENERATOR" value="..." />
<input type="hidden" name="__VIEWSTATEENCRYPTED" id="__VIEWSTATEENCRYPTED" value="" />
                                        ↑ EMPTY = signed-only, not encrypted = exploitable if key leaks
<input type="hidden" name="__EVENTVALIDATION" id="__EVENTVALIDATION" value="..." />
<input type="hidden" name="__REQUESTDIGEST" id="__REQUESTDIGEST" value="0x...,...">
                                        ↑ SharePoint CSRF token; if anon-issued, see hunt-sharepoint

Padrões de URL para sondar:

/trace.axd                            (per-app trace viewer; sometimes anon-accessible)
/elmah.axd                            (ELMAH error log viewer)
/elmah.axd/?id=...                    (ELMAH RCE / stack-trace leak)
/*.svc                                (WCF services)
/*.svc?wsdl                           (WCF WSDL)
/*.svc/mex                            (Metadata Exchange)
/*.asmx                               (legacy SOAP)
/*.asmx?WSDL                          (legacy SOAP description)
/*.asmx?disco                         (legacy discovery)
/Telerik.Web.UI.WebResource.axd       (Telerik AJAX components)
/ChartImg.axd                         (DataVisualization controls; historic deserialization)
/ScriptResource.axd                   (script resource handler; sometimes leaks paths)
/WebResource.axd                      (web resource handler)
/_vti_bin/*                           (SharePoint Web Service Forwarder)
/api/                                 (Web API 2.x is ASP.NET on classic framework)
/signin                               (often FedAuth / WS-Federation)

Sinais da pilha de tecnologia:

• Server: Microsoft-IIS/10.0 (ou /8.5, /7.5) — Windows + IIS confirmados

…