Finally we demonstrate the attacks against real world applications. We use the Padding Oracle attack to decrypt data and use CBC-R to encrypt our modifications. Then we abuse components present in every ASP.NET installation to forge authentication tickets and access applications with administration rights. The vulnerabilities exploited affect the framework used by 25% of the Internet websites.The impact of the attack depends on the applications installed on the server, from information disclosure to total system compromise.  

A pair of security researchers have implemented an attack that exploits the way that ASP.NET Web applications handle encrypted session cookies, a weakness that could enable an attacker to hijack users' online banking sessions and cause other severe problems in vulnerable applications. Experts say that the bug, which will be discussed in detail at the Ekoparty conference in Argentina this week, affects millions of Web applications. The problem lies in the way that ASP.NET, Microsoft's popular Web framework, implements the AES encryption algorithm to protect the integrity of the cookies these applications generate to store information during user sessions. A common mistake is to assume that encryption protects the cookies from tampering so that if any data in the cookie is modified, the cookie will not decrypt correctly. However, there are a lot of ways to make mistakes in crypto implementations, and when crypto breaks, it usually breaks badly. "We knew ASP.NET was vulnerable to our attack several months ago, but we didn't know how serious it is until a couple of weeks ago. It turns out that the vulnerability in ASP.NET is the most critical amongst other frameworks. In short, it totally destroys ASP.NET security," said Thai Duong, who along with Juliano Rizzo, developed the attack against ASP.NET.  

Việc đặt CustomErrors mode="On" có tác dụng tránh lỗi này không anh? Xem qua Video thì chưa biết cách khắc phục thế nào cả. Trong Video hình như có nhắc tới mã hoá DES và 1 dạng mã hoá nào đó, có thể lỗi này xuất phát từ Exploit của cơ chế mã hoá nay. Em đoán trong khi nghiên cứu Practical Padding Oracle Attacks các anh đã tìm thấy cái này. Chờ Tool và Slide để tìm cách khắc phục. 

error message setting is irrelevant. no error? there's always HTTP status. always the same HTTP status? there's always big timing different  

Khách bên mình cũng sử dụng ASP.NET, Cty chủ yếu sử dụng ASP.NET để phát triển website cho khách hàng. Hy Vọng sẽ có thông tin fix sớm. 

(':-('); Đợi tool và paper lâu quá rồi !  

@LeVuHoang: đúng vậy. đọc được bất kỳ file nào nằm trong trong thư mục gốc của ứng dụng ASP.NET. Có thể chôm file cấu hình hoặc file mã nguồn. @vikjava: mấy cái workaround và cách phát hiện tấn công của MS đưa ra đều không có tác dụng. Cách phòng chống duy nhất bây giờ là liên hệ với mình :D, hoặc là chờ patch chính thức của MS. -m 

slide trình bày tại EKOPARTY: http://netifera.com/research/poet//PaddingOraclesEverywhereEkoparty2010.pdf -m  

Video quay lại buổi thuyết trình ở EKOPARTY: http://vimeo.com/15454510. Đoạn nói về ASP.NET bằng tiếng Anh bắt đầu ở phút thứ 26. -m  

em mới thấy cái này : http://www.exploit-db.com/exploits/15213/ 

Nói như vậy lỗi này muốn khắc phúc thì hiện chưa thể được hả ? 

Nếu có thời gian tôi sẽ viết một bài về các vấn đề trên.  

This paper discusses how cryptography is misused in the security design of a large part of the Web. Our focus is on ASP.NET, the web application framework developed by Microsoft that powers 25% of all Internet web sites. We show that attackers can abuse multiple cryptographic design flaws to compromise ASP.NET web applications. We describe practical and highly efficient attacks that allow attackers to steal cryptographic secret keys and forge authentication tokens to access sensitive information. The attacks combine decryption oracles, unauthenticated encryptions, and the reuse of keys for different encryption purposes. Finally, we give some reasons why cryptography is often misused in web technologies, and recommend steps to avoid these mistakes.  

@LeVuHoang: hiện giờ theo thoả thuận với MS thì mình không có cung cấp thông tin đó được. Dẫu vậy mình có PM cho bạn một cái video chứng minh là workaround của MS không chặn được POET. @ITvh: mình cũng ngạc nhiên là Microsoft xếp là Important nhưng lại đưa ra Out Of Band patch. Có lẽ do cái này không trực tiếp là remote code execution, nhưng do mức độ ảnh hưởng lớn nên họ bắt buộc phải đưa ra OOB patch. Lời khuyên là nên cài bảng vá này ngay khi nó ra. -m