L'échantillon crypté n'a pas été trouvé lors de l'utilisation du PadBuster pour le padding

Question

Bien que le PadBuster soit un excellent outil de remplissage d'Oracle, mais quand je tente de déchiffrer le viewState ou les cookies dans les applications asp.net, tout me dit que échantillon crypté n'a pas été trouvé.

Quelque chose peut-être mal quand je l'utilise, mais il n'y a pas beaucoup d'informations pour me dire comment l'utiliser.

Quelqu'un a-t-il l'expérience de l'utilisation du padbuster?

Pouvez-vous me le montrer?

Answer 1

Avez-vous demandé aux auteurs de l'article? (http://netifera.com/research/) Ils ont annoncé qu'ils publieraient plus de détails sur la vulnérabilité ASP NET. Ce dont vous avez besoin est un échantillon crypté que vous pouvez trouver dans le site Web à la recherche de WebResource.axd? D = (this) ou ScriptResrouce? D = (this) ou peut être un viewstate crypté (s'il commence avec weP n'est pas crypté)

Answer 2

Cela ne fonctionne que pour les valeurs, pas les cookies et les viewstates.

Il existe maintenant quelques blogs qui démontrent l'utilisation.

Rechercher quelque chose comme, MS10-070 exploit padbuster.pl.