{"id":376341,"date":"2024-05-21T06:48:18","date_gmt":"2024-05-21T06:48:18","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=376341"},"modified":"-0001-11-30T00:00:00","modified_gmt":"2024-05-21T06:48:18","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=376341","title":{"rendered":"<span>\u0414\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f VIEWSTATE: \u043a\u043e\u043c\u0430\u043d\u0434\u0430 Solar 4RAYS \u0438\u0437\u0443\u0447\u0438\u043b\u0430 \u043a\u0438\u0431\u0435\u0440\u0430\u0442\u0430\u043a\u0443 \u0430\u0437\u0438\u0430\u0442\u0441\u043a\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0438 \u0441 \u00ab\u043d\u0435\u0434\u043e\u0437\u0430\u043a\u0440\u044b\u0442\u043e\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c\u044e\u00bb<\/span>"},"content":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/5a3\/375\/13f\/5a337513f0cb7c1336009f2dc3fd8a16.png\" width=\"1392\" height=\"516\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/5a3\/375\/13f\/5a337513f0cb7c1336009f2dc3fd8a16.png\"\/><\/figure>\n<p>\u0412 2023\u00a0\u0433\u043e\u0434\u0443 \u043c\u044b \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b\u0438 <a href=\"https:\/\/rt-solar.ru\/solar-4rays\/blog\/\">\u0431\u043b\u043e\u0433 <\/a>\u0446\u0435\u043d\u0442\u0440\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043a\u0438\u0431\u0435\u0440\u0443\u0433\u0440\u043e\u0437 Solar 4RAYS, \u0433\u0434\u0435 \u0434\u0435\u043b\u0438\u043c\u0441\u044f \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u043e\u0439 \u043e\u0431\u00a0\u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0433\u0440\u043e\u0437\u0430\u0445, \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430\u043c\u0438 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0439 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u043e\u0432, \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u043c\u0438 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438 \u0434\u043b\u044f\u00a0\u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430\u00a0\u043a\u0438\u0431\u0435\u0440\u0430\u0442\u0430\u043a\u0438 \u0438 \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u043c\u0438 \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u0430\u043c\u0438. \u041d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043c\u044b \u043f\u0443\u0431\u043b\u0438\u043a\u0443\u0435\u043c \u0438 \u0437\u0434\u0435\u0441\u044c, \u0438 \u044d\u0442\u043e\u00a0\u2014 \u043e\u0434\u043d\u043e \u0438\u0437\u00a0\u043d\u0438\u0445.<\/p>\n<p>\u0412 \u043a\u043e\u043d\u0446\u0435 \u043f\u0440\u043e\u0448\u043b\u043e\u0433\u043e \u0433\u043e\u0434\u0430 \u043c\u044b \u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u0435 Solar 4RAYS \u043f\u0440\u043e\u0432\u0435\u043b\u0438 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0430\u0442\u0430\u043a\u0438 \u043d\u0430 \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0443\u044e \u0442\u0435\u043b\u0435\u043a\u043e\u043c\u2011\u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044e. \u0415\u0451 \u0441\u0435\u0442\u044c\u00a0\u0431\u044b\u043b\u0430 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u0430\u0437\u0438\u0430\u0442\u0441\u043a\u043e\u0439 APT\u2011\u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u043e\u0439, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u043c\u044b \u043d\u0430\u0437\u0432\u0430\u043b\u0438 Obstinate Mogwai (\u0438\u043b\u0438 \u00ab\u0423\u043f\u0440\u044f\u043c\u044b\u0439 \u0414\u0435\u043c\u043e\u043d\u00bb \u0432\u00a0\u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0435 \u0441\u00a0\u0430\u043d\u0433\u043b\u0438\u0439\u0441\u043a\u043e\u0433\u043e). \u041f\u043e\u0447\u0435\u043c\u0443 \u00ab\u0423\u043f\u0440\u044f\u043c\u044b\u0439?\u00bb \u0425\u0430\u043a\u0435\u0440\u044b \u0432\u043d\u043e\u0432\u044c \u0438 \u0432\u043d\u043e\u0432\u044c \u043f\u0440\u043e\u043d\u0438\u043a\u0430\u043b\u0438 \u0432\u00a0\u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u044e \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0434\u0430\u0432\u043d\u043e \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043d\u0435\u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432\u00a0\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0435 VIEWSTATE \u0441\u0440\u0435\u0434\u044b ASP.NET (\u0434\u0430\u043b\u0435\u0435 \u0431\u0443\u0434\u0435\u043c \u043d\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u044d\u0442\u043e \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0435\u0439 VIEWSTATE).<\/p>\n<p>\u041c\u044b \u0441\u043c\u043e\u0433\u043b\u0438 \u043e\u043a\u043e\u043d\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u0437\u0430\u043a\u0440\u044b\u0442\u044c \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c \u0432\u0441\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u0434\u043b\u044f \u043f\u0440\u043e\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u044f. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c \u0438\u0441\u0442\u043e\u0440\u0438\u044e \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u043e\u043f\u0438\u0448\u0435\u043c, \u043a\u0430\u043a \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c \u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u0430\u0442\u0430\u043a\u0438 \u0438 \u043a\u0430\u043a \u043d\u0430 \u043d\u0438\u0445 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u0442\u044c, \u0430 \u0432 \u043a\u043e\u043d\u0446\u0435 \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043c \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438. <\/p>\n<details class=\"spoiler\">\n<summary>\u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 VIEWSTATE<\/summary>\n<div class=\"spoiler__content\">\n<p>VIEWSTATE\u00a0\u2014 \u044d\u0442\u043e \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u0432\u00a0ASP.NET Framework, \u0432\u00a0\u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442\u0441\u044f \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435 ASPX\u2011\u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b \u043f\u0440\u0438\u00a0\u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0438 HTTP\u2011\u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u043e\u0432 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u00a0\u0444\u043e\u0440\u043c\u0435 \u0438 \u0434\u0440\u0443\u0433\u0430\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e\u00a0\u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0435). HTTP \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u043e\u043c \u0431\u0435\u0437\u00a0\u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u044f (stateless), \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432\u00a0ASP.NET \u044d\u0442\u0443 \u0437\u0430\u0434\u0430\u0447\u0443 \u0440\u0435\u0448\u0430\u044e\u0442 \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e VIEWSTATE. \u0412\u00a0HTTP\u2011\u0437\u0430\u043f\u0440\u043e\u0441\u0430\u0445 \u0434\u0430\u043d\u043d\u044b\u0435 VIEWSTATE \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0443\u044e\u0442\u0441\u044f \u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0443\u044e\u0442\u0441\u044f \u043d\u0430\u00a0\u0441\u0442\u043e\u0440\u043e\u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u0435\u043b\u044f. <\/p>\n<p>\u0412\u00a0ASP.NET \u0434\u043b\u044f\u00a0\u044d\u0442\u043e\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043a\u043b\u0430\u0441\u0441 <a href=\"https:\/\/learn.microsoft.com\/en-us\/dotnet\/api\/system.web.ui.objectstateformatter?view=netframework-4.8.1\">ObjectStateFormatter<\/a>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u0430\u043c Microsoft \u043d\u0430\u0437\u0432\u0430\u043b \u043d\u0435\u043d\u0430\u0434\u0435\u0436\u043d\u044b\u043c \u0438 \u043d\u0435\u00a0\u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u043e\u0432\u0430\u043b \u0432\u00a0\u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u0430 \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u0432. \u041e\u043d\u00a0\u0436\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u043e\u0439 \u0438\u0437\u00a0\u043f\u0440\u0438\u0447\u0438\u043d \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u044f RCE\u2011\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438.<\/p>\n<p>\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0438 \u0430\u0442\u0430\u043a, \u0441\u00a0\u043d\u0435\u0439 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0445,\u00a0\u2014 \u044d\u0442\u043e \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u0430\u044f \u0431\u043e\u043b\u044c\u0448\u0430\u044f \u0442\u0435\u043c\u0430, \u043e\u00a0\u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0432\u044b\u043f\u0443\u0449\u0435\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u043e\u0435 \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u043e \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0439 \u0438 \u0441\u0442\u0430\u0442\u0435\u0439. \u0414\u043b\u044f\u00a0\u043e\u0446\u0435\u043d\u043a\u0438 \u043c\u0430\u0441\u0448\u0442\u0430\u0431\u0430 \u0432\u0441\u043f\u043e\u043c\u043d\u0438\u043c \u0441\u0430\u043c\u044b\u0435 \u0432\u0430\u0436\u043d\u044b\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u044f, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0435 \u0441\u00a0\u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0435\u0439 \u0432\u00a0ASP.NET.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/874\/4b8\/5a8\/8744b85a85697c7bb2f254bfbc738f56.png\" alt=\"\u0418\u0441\u0442\u043e\u0440\u0438\u044f \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432 \u0438\u043d\u0434\u0443\u0441\u0442\u0440\u0438\u0438\" title=\"\u0418\u0441\u0442\u043e\u0440\u0438\u044f \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432 \u0438\u043d\u0434\u0443\u0441\u0442\u0440\u0438\u0438\" width=\"1030\" height=\"496\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/874\/4b8\/5a8\/8744b85a85697c7bb2f254bfbc738f56.png\"\/><\/p>\n<div><figcaption><em>\u0418\u0441\u0442\u043e\u0440\u0438\u044f \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432 \u0438\u043d\u0434\u0443\u0441\u0442\u0440\u0438\u0438<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u0421\u0435\u043d\u0442\u044f\u0431\u0440\u044c 2014\u00a0\u2014 Microsoft \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043f\u0430\u0442\u0447 KB 290\u00a0524, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e\u00a0\u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0432\u043a\u043b\u044e\u0447\u0430\u0435\u0442 MAC\u2011\u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u044e \u0434\u043b\u044f\u00a0\u0432\u0441\u0435\u0445 \u0432\u0435\u0440\u0441\u0438\u0439 ASP.NET (\u0441 1.1\u00a0\u0434\u043e 4.5.2). <\/p>\n<p>\u041d\u043e\u044f\u0431\u0440\u044c 2014\u00a0\u2014 \u044d\u043a\u0441\u043f\u0435\u0440\u0442 \u0410\u043b\u0435\u043a\u0441\u0430\u043d\u0434\u0440 \u0425\u0435\u0440\u0446\u043e\u0433 (Alexandre Herzog) \u043d\u0430\u00a0\u043a\u043e\u043d\u0444\u0435\u0440\u0435\u043d\u0446\u0438\u0438 Application Security Forum\u00a0\u2014 Western Switzerland (<a href=\"https:\/\/x.com\/appsec_forum\">@appsec_forum<\/a>) \u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u0443\u0435\u0442 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE \u0432\u00a0SharePoint. \u041f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u0441\u043f\u043e\u0441\u043e\u0431 \u043e\u043f\u0438\u0440\u0430\u043b\u0441\u044f \u043d\u0430\u00a0\u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0435 MAC\u2011\u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 \u0432\u00a0ASP.NET.<\/p>\n<p>\u0418\u044e\u043b\u044c 2017\u00a0\u2014 \u044d\u043a\u0441\u043f\u0435\u0440\u0442\u044b \u0410\u043b\u044c\u0432\u0430\u0440\u043e \u041c\u0443\u043d\u043e\u0437 (Alvaro Mu\u00f1oz) \u0438 \u041e\u043b\u0435\u043a\u0441\u0430\u043d\u0434\u0440 \u041c\u0438\u0440\u043e\u0448 (Oleksandr Mirosh) \u0432\u044b\u0441\u0442\u0443\u043f\u0430\u044e\u0442 \u0441\u00a0\u0434\u043e\u043a\u043b\u0430\u0434\u043e\u043c <a href=\"https:\/\/www.blackhat.com\/docs\/us-17\/thursday\/us-17-Munoz-Friday-The-13th-JSON-Attacks-wp.pdf\">\u00abFriday the 13th JSON Attacks\u00bb<\/a> \u043d\u0430\u00a0Black Hat 2017\u00a0\u0432\u00a0\u0421\u0428\u0410, \u0433\u0434\u0435 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u0433\u0430\u0434\u0436\u0435\u0442\u044b \u0434\u043b\u044f\u00a0\u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE. <\/p>\n<p>\u0410\u043f\u0440\u0435\u043b\u044c 2019\u00a0\u2014 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0439 \u044d\u043a\u0441\u043f\u0435\u0440\u0442 \u0432\u00a0\u043e\u0431\u043b\u0430\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 <a href=\"https:\/\/soroush.me\/blog\/2019\/04\/exploiting-deserialisation-in-asp-net-via-viewstate\/\">\u0421\u043e\u0440\u0443\u0448 \u0414\u0430\u043b\u0438\u043b\u0438<\/a> \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0441\u0432\u043e\u0451 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b. \u041f\u0440\u0438\u0432\u043e\u0434\u0438\u043c \u0435\u0433\u043e \u043a\u0440\u0430\u0442\u043a\u0443\u044e \u0432\u044b\u0436\u0438\u043c\u043a\u0443: \u0432\u044b\u043f\u0443\u0449\u0435\u043d\u043d\u044b\u0439 Microsoft \u0432 2014\u00a0\u0433\u043e\u0434\u0443 \u043f\u0430\u0442\u0447 <strong><em>\u0437\u0430\u0442\u0440\u0443\u0434\u043d\u044f\u0435\u0442<\/em><\/strong> \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u043d\u043e\u00a0\u043d\u0435\u00a0\u0437\u0430\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0435\u0451 \u043f\u043e\u043b\u043d\u043e\u0441\u0442\u044c\u044e: \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 MAC\u2011\u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 \u043c\u043e\u0436\u043d\u043e \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442\u044c, \u0435\u0441\u043b\u0438 \u0443\u00a0\u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430 \u0435\u0441\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f \u043a\u00a0\u0432\u0435\u0431\u2011\u0441\u0435\u0440\u0432\u0435\u0440\u0443, \u0430\u00a0\u0438\u043c\u0435\u043d\u043d\u043e\u00a0\u2014 \u043a\u00a0\u043a\u043b\u044e\u0447\u0430\u043c \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 VIEWSTATE (\u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435 \u043e\u00a0\u043d\u0438\u0445\u00a0\u2014 \u0434\u0430\u043b\u0435\u0435 \u0432\u00a0\u0441\u0442\u0430\u0442\u044c\u0435).<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/e14\/b35\/f0e\/e14b35f0e9b9a92f166471ad53ab8229.png\" alt=\"\u041a\u043b\u044e\u0447\u0438 \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 VIEWSTATE \u0432 \u0444\u0430\u0439\u043b\u0435 web.config \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f\" title=\"\u041a\u043b\u044e\u0447\u0438 \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 VIEWSTATE \u0432 \u0444\u0430\u0439\u043b\u0435 web.config \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f\" width=\"975\" height=\"90\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/e14\/b35\/f0e\/e14b35f0e9b9a92f166471ad53ab8229.png\"\/><\/p>\n<div><figcaption><em>\u041a\u043b\u044e\u0447\u0438 \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 VIEWSTATE \u0432 \u0444\u0430\u0439\u043b\u0435 web.config \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u043d\u043e\u043c\u0438\u043d\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u043d\u0430\u00a0Pwnie Awards \u043a\u0430\u043a <a href=\"https:\/\/web.archive.org\/web\/20190803165724\/https:\/pwnies.com\/nominations\/\">\u00abMost under\u2011hyped research\u00bb<\/a> (\u0441\u0430\u043c\u043e\u0435 \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0440\u0430\u0441\u043a\u0440\u0443\u0447\u0435\u043d\u043d\u043e\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435). \u0421\u0440\u0435\u0434\u0438 \u043f\u0440\u043e\u0447\u0435\u0433\u043e \u0432\u00a0\u0442\u0435\u043a\u0441\u0442\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e\u00a0\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a\u00a0WON&#8217;T FIX (\u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c\u0441\u044f). \u041e\u0434\u043d\u043e \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0438\u0437\u00a0\u043e\u043f\u0438\u0441\u0430\u043d\u0438\u044f \u0437\u0430\u044f\u0432\u043a\u0438 \u043d\u0430\u00a0\u043d\u043e\u043c\u0438\u043d\u0430\u0446\u0438\u044e \u043a\u0440\u0430\u0441\u043d\u043e\u0440\u0435\u0447\u0438\u0432\u043e \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0441\u0443\u0442\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/ed2\/b0b\/657\/ed2b0b6575504020026cf5e3933702b7.png\" alt=\"\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0441\u0442\u0430\u0442\u044c\u0438 \u0421\u043e\u0440\u0443\u0448 \u0414\u0430\u043b\u0438\u043b\u0438 \u0432 \u043d\u043e\u043c\u0438\u043d\u0430\u0446\u0438\u0438 \u201cMost under-hyped research\u201d  \u043d\u0430 \u0446\u0435\u0440\u0435\u043c\u043e\u043d\u0438\u0438 Pwnie awards 2019\" title=\"\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0441\u0442\u0430\u0442\u044c\u0438 \u0421\u043e\u0440\u0443\u0448 \u0414\u0430\u043b\u0438\u043b\u0438 \u0432 \u043d\u043e\u043c\u0438\u043d\u0430\u0446\u0438\u0438 \u201cMost under-hyped research\u201d  \u043d\u0430 \u0446\u0435\u0440\u0435\u043c\u043e\u043d\u0438\u0438 Pwnie awards 2019\" width=\"744\" height=\"450\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/ed2\/b0b\/657\/ed2b0b6575504020026cf5e3933702b7.png\"\/><\/p>\n<div><figcaption><em>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0441\u0442\u0430\u0442\u044c\u0438 \u0421\u043e\u0440\u0443\u0448 \u0414\u0430\u043b\u0438\u043b\u0438 \u0432 \u043d\u043e\u043c\u0438\u043d\u0430\u0446\u0438\u0438 \u00abMost under\u2011hyped research\u00bb \u043d\u0430\u00a0\u0446\u0435\u0440\u0435\u043c\u043e\u043d\u0438\u0438 Pwnie awards 2019<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u0414\u0440\u0443\u0433\u0438\u043c\u0438 \u0441\u043b\u043e\u0432\u0430\u043c\u0438, \u0435\u0441\u043b\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043a\u0430\u043a\u0438\u043c\u2011\u043b\u0438\u0431\u043e \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u043f\u043e\u043b\u0443\u0447\u0430\u044e\u0442 \u0434\u043e\u0441\u0442\u0443\u043f \u043a\u00a0\u043a\u043b\u044e\u0447\u0430\u043c \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 VIEWSTATE \u0432\u0435\u0431\u2011\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043d\u0430\u00a0\u0441\u0435\u0440\u0432\u0435\u0440\u0435, \u0442\u043e \u043e\u043d\u0438 \u043c\u043e\u0433\u0443\u0442, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438, \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u043a\u043e\u0434 \u043d\u0430\u00a0\u044d\u0442\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435.<\/p>\n<p>\u0424\u0435\u0432\u0440\u0430\u043b\u044c 2020\u00a0\u2014 Microsoft \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043f\u0430\u0442\u0447 \u0434\u043b\u044f\u00a0CVE-2020\u20130688\u00a0\u2014 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u0441\u043c\u044b\u0441\u043b \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0432\u00a0\u0442\u043e\u043c, \u0447\u0442\u043e\u00a0\u0443\u00a0\u0432\u0441\u0435\u0445 \u0432\u0435\u0440\u0441\u0438\u0439 Exchange \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438\u00a0\u0431\u044b\u043b\u0438 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u0435 \u043a\u043b\u044e\u0447\u0438 \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 \u0434\u043b\u044f\u00a0backend ECP. \u0412\u0441\u043a\u043e\u0440\u0435 \u0441\u0442\u0430\u043b\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0435 POC. \u0412\u00a0\u0434\u0430\u043d\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0434\u043b\u044f\u00a0\u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0439 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u0432\u0430\u043b\u0438\u0434\u043d\u044b\u0435 \u0443\u0447\u0435\u0442\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u043b\u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f \u0434\u043e\u00a0backend \u043f\u0430\u043d\u0435\u043b\u0438 ECP. \u042d\u0442\u0443 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043c\u043e\u0436\u043d\u043e \u0440\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0442\u044c \u043a\u0430\u043a\u00a0\u0447\u0430\u0441\u0442\u043d\u044b\u0439 \u0441\u043b\u0443\u0447\u0430\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE, \u0442\u0430\u043a \u043a\u0430\u043a\u00a0CVE-2020\u20130688\u00a0\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0430 \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0430\u00a0\u043e\u0434\u0438\u043d \u043f\u0443\u0442\u044c\u00a0\u2014 backend ECP. \u0422\u0435\u043c \u043d\u0435\u00a0\u043c\u0435\u043d\u0435\u0435, \u044d\u0442\u0430 \u0432\u0430\u0436\u043d\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043c\u043e\u0433\u043b\u0430 \u043d\u0430\u043f\u043e\u043c\u043d\u0438\u0442\u044c \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c \u043e\u00a0\u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0438 \u0435\u0451 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044f\u0445, \u0442\u0430\u043a \u043a\u0430\u043a\u00a0\u0438\u043c\u0435\u043d\u043d\u043e \u043f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0439 CVE \u0441\u0442\u0430\u043b\u0438 \u043f\u043e\u044f\u0432\u043b\u044f\u0442\u044c\u0441\u044f \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0435 \u043e\u0442\u0447\u0435\u0442\u044b \u043e\u0431\u00a0\u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE \u0432\u00a0\u043e\u0431\u0449\u0435\u043c \u0444\u043e\u0440\u043c\u0430\u0442\u0435 (\u043d\u0430 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0445 \u043f\u0443\u0442\u044f\u0445) \u0432\u00a0\u0434\u0438\u043a\u043e\u0439 \u0441\u0440\u0435\u0434\u0435.<\/p>\n<h3>\u0410\u0442\u0430\u043a\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432 \u0434\u0438\u043a\u043e\u0439 \u043f\u0440\u0438\u0440\u043e\u0434\u0435<\/h3>\n<p>\u0418\u044e\u043d\u044c 2020\u00a0\u2014 \u0410\u0432\u0441\u0442\u0440\u0430\u043b\u0438\u0439\u0441\u043a\u0438\u0439 \u0446\u0435\u043d\u0442\u0440 \u043a\u0438\u0431\u0435\u0440\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 (ACSC) \u0423\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0440\u0430\u0434\u0438\u043e\u0442\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043e\u0431\u043e\u0440\u043e\u043d\u044b \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u043b <a href=\"https:\/\/www.cyber.gov.au\/about-us\/advisories\/advisory-2020-008-copy-paste-compromises-tactics-techniques-and-procedures-used-target-multiple-australian-networks\">\u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0438 2020\u2013008\u00a0\u043e\u0431\u00a0\u0430\u0442\u0430\u043a\u0435 Copy\u2011paste compromises<\/a>, \u0432\u00a0\u043a\u043e\u0442\u043e\u0440\u044b\u0445\u00a0\u0431\u044b\u043b\u0438 \u043e\u043f\u0438\u0441\u0430\u043d\u044b \u0442\u0430\u043a\u0442\u0438\u043a\u0438 \u0438 \u0442\u0435\u0445\u043d\u0438\u043a\u0438 \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 \u043f\u0440\u043e\u0433\u043e\u0441\u0443\u0434\u0430\u0440\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u043e\u0432\u0430\u043b\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438:<\/p>\n<ul>\n<li>\n<p>Telerik UI CVE-2019\u201318\u00a0935\u00a0\u2014 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432.NET JavaScriptSerializer. \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0434\u043b\u044f\u00a0\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0440\u0435\u0432\u0435\u0440\u0441 \u0448\u0435\u043b\u043b\u0430;<\/p>\n<\/li>\n<li>\n<p>CVE-2020\u20130688\u00a0\u2014 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0434\u043b\u044f\u00a0\u0440\u0430\u0437\u043c\u0435\u0449\u0435\u043d\u0438\u044f \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u0432\u0435\u0431\u2011\u0448\u0435\u043b\u043b\u043e\u0432 (\u043a\u0430\u0441\u0442\u043e\u043c\u043d\u044b\u0445 \u0438 open source), \u0432\u00a0\u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430 js_eval \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0432\u00a0\u043f\u0430\u043c\u044f\u0442\u0438 \u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043c\u043d\u043e\u0433\u043e\u043c\u043e\u0434\u0443\u043b\u044c\u043d\u044b\u043c;<\/p>\n<\/li>\n<li>\n<p>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 dotm\u2011\u0448\u0430\u0431\u043b\u043e\u043d\u044b Word, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0442\u0430\u043a\u0436\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0438 Powershell Empire \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043d\u0430\u0433\u0440\u0443\u0437\u043e\u043a \u00ab\u0432\u0440\u0443\u0447\u043d\u0443\u044e\u00bb\u00a0\u2014 \u0447\u0435\u0440\u0435\u0437 \u0432\u044b\u0437\u043e\u0432 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u043c \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u043c\u00a0\u2014 BinaryFormatter.<\/p>\n<\/li>\n<li>\n<p>\u0412\u00a0\u043c\u0430\u0435 2020\u00a0\u0433\u043e\u0434\u0430\u00a0\u0431\u044b\u043b\u0438 \u0432\u044b\u043f\u0443\u0449\u0435\u043d\u044b \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0438:<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/www.cyber.gov.au\/about-us\/advisories\/advisory-2020-004-remote-code-execution-vulnerability-being-actively-exploited-vulnerable-versions-telerik-ui-sophisticated-actors\">2020\u2013004<\/a> \u043f\u043e\u00a0\u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044e \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432\u00a0CVE-2019\u201318\u00a0935\u00a0\u0432\u00a0\u041f\u041e Telerik, \u0430\u00a0\u0442\u0430\u043a\u0436\u0435 \u043f\u043e\u00a0\u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u043d\u0430\u00a0\u0442\u0430\u043a\u0443\u044e \u0430\u0442\u0430\u043a\u0443.<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/www.cyber.gov.au\/about-us\/advisories\/2020-006-detecting-and-mitigating-exploitation-vulnerability-microsoft-internet-information-services\">2020\u2013006<\/a> \u043f\u043e\u00a0\u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044e \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE \u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432\u00a0\u041f\u041e\u00a0Telerik, \u0430\u00a0\u0442\u0430\u043a\u0436\u0435 \u043f\u043e\u00a0\u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u043d\u0430\u00a0\u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u0430\u0442\u0430\u043a\u0438. \u0412\u00a0\u044d\u0442\u0438\u0445 \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u044f\u0445 \u0432\u043f\u0435\u0440\u0432\u044b\u0435 \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u043b\u043e\u0441\u044c, \u0447\u0442\u043e\u00a0\u0434\u043b\u044f\u00a0\u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0430\u0442\u0430\u043a \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0441\u043e\u0431\u044b\u0442\u0438\u0435 Application Event ID 1316\u00a0(\u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435 \u043e\u00a0\u043d\u0451\u043c\u00a0\u2014 \u0434\u0430\u043b\u0435\u0435 \u0432\u00a0\u0442\u0435\u043a\u0441\u0442\u0435).<\/p>\n<\/li>\n<\/ul>\n<p>\u0418\u044e\u043b\u044c 2021\u00a0\u2014 \u044d\u043a\u0441\u043f\u0435\u0440\u0442\u044b SYGNIA \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u043e\u0442\u0447\u0435\u0442 \u043f\u043e\u00a0\u0430\u0442\u0430\u043a\u0435 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0438 Praying Mantis, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0430 4\u00a0\u0440\u0430\u0437\u043d\u044b\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438:<\/p>\n<ul>\n<li>\n<p>Checkbox Survey RCE Exploit (CVE-2021\u201327\u00a0852)\u00a0\u2014 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f \u043a\u0430\u0441\u0442\u043e\u043c\u043d\u043e\u0439 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE \u0434\u043b\u044f\u00a0reflective \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u0430 NodeIISWeb\u00a0\u2014 \u043e\u0447\u0435\u043d\u044c \u043f\u043e\u0445\u043e\u0436 \u043d\u0430\u00a0\u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a js_eval \u0438\u0437\u00a0\u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0439 \u0410\u0432\u0441\u0442\u0440\u0430\u043b\u0438\u0439\u0441\u043a\u043e\u0433\u043e \u0446\u0435\u043d\u0442\u0440\u0430 \u043a\u0438\u0431\u0435\u0440\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438;<\/p>\n<\/li>\n<li>\n<p>\u0414\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f VIEWSTATE \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0443\u043a\u0440\u0430\u0434\u0435\u043d\u043d\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439 IIS\u00a0\u2014 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0440\u0430\u0437 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u043b\u0438\u0441\u044c \u0432\u00a0\u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u044d\u0442\u0438\u043c \u043c\u0435\u0442\u043e\u0434\u043e\u043c, \u0438\u043c\u00a0\u0436\u0435 \u043e\u043d\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u0434\u043b\u044f\u00a0\u0433\u043e\u0440\u0438\u0437\u043e\u043d\u0442\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0435\u043d\u0438\u044f;<\/p>\n<\/li>\n<li>\n<p>\u0414\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f \u043e\u0431\u044a\u0435\u043a\u0442\u0430 \u0438\u0437\u00a0ASP.NET MSSQL \u0431\u0430\u0437\u044b\u00a0\u2014 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u043b\u0438 \u0432\u00a0MSSQL \u0431\u0430\u0437\u0443 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043e\u0431\u044a\u0435\u043a\u0442 \u0432\u00a0\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0434\u0430\u043b\u0435\u0435 \u0437\u0430\u043f\u0440\u0430\u0448\u0438\u0432\u0430\u043b \u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u044b\u0432\u0430\u043b IIS\u2011\u0441\u0435\u0440\u0432\u0435\u0440 \u043a\u043e\u0433\u0434\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u043b \u0437\u0430\u043f\u0440\u043e\u0441 \u0441\u043e \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u0441\u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c cookies. \u0412\u00a0\u044d\u0442\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0442\u0430\u043a\u0436\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441 NodeIISWeb;<\/p>\n<\/li>\n<li>\n<p>Telerik UI CVE-2019\u201318\u00a0935\u00a0\u2014 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432.NET JavaScriptSerializer. \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0434\u043b\u044f\u00a0\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0432\u0435\u0431\u2011\u0448\u0435\u043b\u043b\u043e\u0432.<\/p>\n<\/li>\n<\/ul>\n<p>\u0412\u044b\u0441\u043e\u043a\u0430 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e\u0441\u0442\u044c, \u0447\u0442\u043e\u00a0\u044d\u043a\u0441\u043f\u0435\u0440\u0442\u044b SYGNIA \u0438 ACSC \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0441\u00a0\u043e\u0434\u043d\u043e\u0439 \u0438 \u0442\u043e\u0439\u00a0\u0436\u0435 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u043e\u0439, \u0442\u0430\u043a \u043a\u0430\u043a\u00a0\u0431\u044b\u043b\u043e \u043c\u043d\u043e\u0433\u043e \u043f\u0435\u0440\u0435\u0441\u0435\u0447\u0435\u043d\u0438\u0439 \u043f\u043e\u00a0\u0442\u0430\u043a\u0442\u0438\u043a\u0430\u043c, \u0442\u0435\u0445\u043d\u0438\u043a\u0430\u043c \u0438 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u0430\u043c.<\/p>\n<p>\u041c\u0430\u0440\u0442 2022\u00a0\u2014 \u044d\u043a\u0441\u043f\u0435\u0440\u0442\u044b Mandiant \u043f\u043e\u0434\u0435\u043b\u0438\u043b\u0438\u0441\u044c \u0431\u043e\u043b\u044c\u0448\u0438\u043c \u043d\u0430\u0431\u043e\u0440\u043e\u043c \u043a\u0435\u0439\u0441\u043e\u0432 \u0430\u0442\u0430\u043a \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0438 APT41, \u0432\u00a0\u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u0435 \u0438\u0437\u00a0\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE:<\/p>\n<ul>\n<li>\n<p>\u0418\u044e\u043d\u044c 2020\u00a0\u2014 APT41, \u0447\u0435\u0440\u0435\u0437 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c directory traversal, \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438 \u0434\u043e\u0441\u0442\u0443\u043f \u043a\u00a0web.config \u0444\u0430\u0439\u043b\u0443 \u0441\u00a0\u043a\u043b\u044e\u0447\u0430\u043c\u0438 \u043f\u0440\u043e\u043f\u0440\u0438\u0435\u0442\u0430\u0440\u043d\u043e\u0433\u043e \u0432\u0435\u0431\u2011\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043d\u0430\u00a0ASP.NET. \u041a\u043b\u044e\u0447\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0434\u043b\u044f\u00a0\u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 VIEWSTATE\u2011\u043d\u0430\u0433\u0440\u0443\u0437\u043e\u043a \u0438 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0441\u0431\u043e\u0440\u043e\u043a \u0432\u00a0\u043f\u0430\u043c\u044f\u0442\u044c. \u0421\u0431\u043e\u0440\u043a\u0438 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u043b\u0438 \u0432\u0435\u0431\u2011\u0448\u0435\u043b\u043b\u044b \u043f\u043e\u00a0\u0437\u0430\u0440\u0430\u043d\u0435\u0435 \u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c \u043f\u0443\u0442\u044f\u043c \u043d\u0430\u00a0\u0444\u0430\u0439\u043b\u043e\u0432\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435. \u0422\u0430\u043a\u0436\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f \u0433\u0430\u0434\u0436\u0435\u0442 DisableActivitySurrogateSelectorTypeCheck \u0443\u0442\u0438\u043b\u0438\u0442\u044b ysoserial.net.<\/p>\n<\/li>\n<li>\n<p>\u041c\u0430\u0439 2021\u00a0\u2014 \u043a\u0430\u043a\u00a0\u0438 \u0432\u00a0\u0438\u044e\u043d\u0435 2020\u00a0\u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e VIEWSTATE \u0432\u00a0\u043f\u0440\u043e\u043f\u0440\u0438\u0435\u0442\u0430\u0440\u043d\u043e\u043c \u0432\u0435\u0431\u2011\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0438. \u041e\u0442\u043a\u0443\u0434\u0430\u00a0\u0431\u044b\u043b\u0438 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u044b \u043a\u043b\u044e\u0447\u0438 \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e (\u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0442\u0430\u043a\u0436\u0435 \u0447\u0435\u0440\u0435\u0437 directory traversal \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c).<\/p>\n<\/li>\n<li>\n<p>\u0418\u044e\u043d\u044c\u2011\u0434\u0435\u043a\u0430\u0431\u0440\u044c 2021\u00a0\u2014 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043d\u0443\u043b\u0435\u0432\u043e\u0433\u043e \u0434\u043d\u044f \u0432\u00a0ASP.NET \u0432\u0435\u0431\u2011\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0438 USAHERDS (\u0434\u0438\u0430\u0433\u043d\u043e\u0441\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u043e\u043f\u043e\u0432\u0435\u0449\u0435\u043d\u0438\u044f \u043e\u00a0\u0447\u0440\u0435\u0437\u0432\u044b\u0447\u0430\u0439\u043d\u044b\u0445 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f\u0445 \u0432\u00a0\u043e\u0431\u043b\u0430\u0441\u0442\u0438 \u043e\u0445\u0440\u0430\u043d\u044b \u0437\u0434\u043e\u0440\u043e\u0432\u044c\u044f \u0436\u0438\u0432\u043e\u0442\u043d\u044b\u0445) \u0434\u043b\u044f\u00a0\u0430\u0442\u0430\u043a\u0438 \u043d\u0430\u00a0\u043f\u0440\u0430\u0432\u0438\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0448\u0442\u0430\u0442\u043e\u0432 \u0432\u00a0\u0421\u0428\u0410. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u0430 CVE-2020\u20130688\u00a0(\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u043a\u043b\u044e\u0447\u0435\u0439). \u041f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e\u00a0\u043f\u0435\u0440\u0432\u043e\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u043a\u00a0\u043a\u043b\u044e\u0447\u0430\u043c\u00a0\u0431\u044b\u043b \u043f\u043e\u043b\u0443\u0447\u0435\u043d \u0442\u0430\u043a\u0436\u0435 \u0447\u0435\u0440\u0435\u0437 directory traversal \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c.<\/p>\n<\/li>\n<\/ul>\n<p>\u041c\u0430\u0440\u0442 2023\u00a0\u2014 \u0410\u0433\u0435\u043d\u0442\u0441\u0442\u0432\u043e \u043f\u043e\u00a0\u043a\u0438\u0431\u0435\u0440\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0438 \u0437\u0430\u0449\u0438\u0442\u0435 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b (CISA), \u0424\u0411\u0420 \u0438 MS\u2011ISAC \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u043d\u044b\u0435 \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0438 \u043f\u043e\u00a0\u043f\u0440\u043e\u0442\u0438\u0432\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044e \u0430\u0442\u0430\u043a\u0430\u043c \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438. \u0420\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0438 \u0441\u043e\u0437\u0434\u0430\u043b\u0438 \u043d\u0430\u00a0\u043e\u0441\u043d\u043e\u0432\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0430\u0442\u0430\u043a \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043e\u043a, \u043f\u0440\u043e\u0438\u0437\u043e\u0448\u0435\u0434\u0448\u0438\u0445 \u0432\u00a0\u043d\u043e\u044f\u0431\u0440\u0435 2022\u00a0\u043d\u0430\u00a0\u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u043f\u0440\u0430\u0432\u0438\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0445 IIS\u2011\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432. \u0412\u00a0\u0430\u0442\u0430\u043a\u0430\u0445 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0430\u0441\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432\u00a0\u041f\u041e\u00a0Progress Telerik. <\/p>\n<p>\u041d\u043e\u044f\u0431\u0440\u044c 2023\u00a0\u2014 \u044d\u043a\u0441\u043f\u0435\u0440\u0442\u044b Solar 4RAYS \u0440\u0435\u0430\u0433\u0438\u0440\u0443\u044e\u0442 \u043d\u0430\u00a0\u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442 \u0432\u00a0\u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435 \u0442\u0435\u043b\u0435\u043a\u043e\u043c\u2011\u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u0433\u0434\u0435 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 Obstinate Mogwai \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u0443\u0435\u0442 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE \u0434\u043b\u044f\u00a0\u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e\u0433\u043e \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0435\u043d\u0438\u044f.<\/p>\n<\/div>\n<\/details>\n<h2>\u042d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u044f \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE \u0432 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0438 Obstinate Mogwai<\/h2>\n<p>\u0412 \u043a\u043e\u043d\u0446\u0435 2023\u00a0\u0433\u043e\u0434\u0430 \u0432\u00a0\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430\u00a0\u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442 \u043c\u044b \u0441\u0442\u0430\u043b\u0438 \u0437\u0430\u043c\u0435\u0447\u0430\u0442\u044c \u043d\u0430\u00a0Exchange\u2011\u0441\u0435\u0440\u0432\u0435\u0440\u0430\u0445 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 powershell\u2011\u043a\u043e\u043c\u0430\u043d\u0434 \u043e\u0442\u00a0\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 w3wp\u00a0\u2014 worker\u2011\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 Exchange. \u041f\u0440\u0438\u0447\u0435\u043c \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b\u0438\u0441\u044c \u043e\u0442\u00a0\u0441\u0430\u043c\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 w3wp \u0431\u0435\u0437\u00a0\u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0434\u043e\u0447\u0435\u0440\u043d\u0438\u0445 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 powershell.exe.<\/p>\n<p>\u041f\u0440\u0438\u043c\u0435\u0440\u044b \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u043a\u043e\u043c\u0430\u043d\u0434:<\/p>\n<pre><code class=\"powershell\">net user &lt;REDACTED> gci c:\\programdata\\ reg query HKEY_LOCAL_MACHINE\\system\\currentcontrolset\\control\\securityproviders\\wdigest \/v uselogoncredential Get-ItemProperty -Path HKLM:\\system\\currentcontrolset\\control\\securityproviders\\wdigest).uselogoncredential Get-ChildItem -Path \"c:\\programdata\" Get-ChildItem -Path \"c:\\users\" Remove-Item -Path \"c:\\programdata\\1.log\" Remove-Item -Path \"c:\\windows\\system\\l.txt\" Test-Connection -Count 1 -ComputerName &lt;REDACTED> Resolve-DnsName -Name &lt;REDACTED> Remove-Item -Path \"C:\\Program Files\\Microsoft\\Exchange Server\\V15\\FrontEnd\\HttpProxy\\owa\\auth\\Current\\themes\\resources\\frown.aspx\" Remove-Item -Path \"c:\\windows\\temp\\user.log\"<\/code><\/pre>\n<p>\u0421 \u043f\u043e\u043c\u043e\u0449\u044c\u044e powershell-\u043a\u043e\u043c\u0430\u043d\u0434 \u043d\u0430 Exchange-\u0441\u0435\u0440\u0432\u0435\u0440 \u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0445 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, powershell-\u0441\u043a\u0440\u0438\u043f\u0442 <a href=\"https:\/\/github.com\/Kevin-Robertson\/Invoke-TheHash\/tree\/master?tab=readme-ov-file#invoke-smbclient\">Invoke-SMBClient \u0438\u0437 \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430 Inveigh<\/a>), \u0430 \u0442\u0430\u043a\u0436\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b\u0430\u0441\u044c \u044d\u043a\u0441\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u044f \u0434\u0430\u043d\u043d\u044b\u0445 \u0438 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0445 \u044f\u0449\u0438\u043a\u043e\u0432.<\/p>\n<p>\u041a \u0442\u043e\u043c\u0443 \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0435 \u0432 \u043f\u0440\u043e\u0448\u043b\u044b\u0445 \u0430\u0442\u0430\u043a\u0430\u0445 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 aspx-\u0444\u0430\u0439\u043b\u044b (\u0432\u0435\u0431\u0448\u0435\u043b\u043b\u044b) \u0438\u0437 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b\u0445 \u0438\u0437\u0432\u043d\u0435 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u0432 Exchange \u043c\u044b \u0443\u0436\u0435 \u0443\u0434\u0430\u043b\u0438\u043b\u0438, \u043d\u043e \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0435 \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u043b\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u043a\u043e\u043c\u0430\u043d\u0434\u044b. \u041c\u044b \u0441\u0442\u0430\u043b\u0438 \u0438\u0441\u043a\u0430\u0442\u044c, \u043a\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0447\u0435\u0433\u043e \u043e\u043d\u0438 \u044d\u0442\u043e \u0434\u0435\u043b\u0430\u044e\u0442.<\/p>\n<p>\u0412 IIS-\u043b\u043e\u0433\u0430\u0445 \u0432 \u043e\u043a\u0440\u0435\u0441\u0442\u043d\u043e\u0441\u0442\u0438 \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043c\u0430\u043d\u0434 \u0431\u044b\u043b\u0438 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u044b \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 POST-\u0437\u0430\u043f\u0440\u043e\u0441\u044b \u0441 \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u044b\u043c UserAgent: <\/p>\n<p>POST \/owa\/auth\/RedirSuiteServiceProxy.aspx 443 77.223.109[.]164 python-requests\/2.30.0<\/p>\n<p>POST \/owa\/auth\/RedirSuiteServiceProxy.aspx 443 45.12.67[.]18 python-requests\/2.30.0<\/p>\n<p>POST \/owa\/auth\/RedirSuiteServiceProxy.aspx 443 77.223.109[.]163 python-requests\/2.30.0<\/p>\n<p>\u041f\u0440\u0438\u0447\u0435\u043c \u0432\u0441\u0435 \u043e\u043d\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b\u0438\u0441\u044c \u043a \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e\u043c\u0443 aspx-\u0444\u0430\u0439\u043b\u0443 (<sub>C:\\Program Files\\Microsoft\\Exchange Server\\V15\\FrontEnd\\HttpProxy\\owa\\auth\\RedirSuiteServiceProxy.aspx<\/sub>).<\/p>\n<p>\u0412 \u0445\u043e\u0434\u0435 \u0431\u043e\u043b\u0435\u0435 \u0442\u0449\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u043f\u043e\u0438\u0441\u043a\u0430 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u0432 \u043f\u043e \u0432\u0441\u0435\u043c\u0443 \u043e\u0431\u0440\u0430\u0437\u0443 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 Exchange-\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u0432 \u0436\u0443\u0440\u043d\u0430\u043b\u0435 Windows \u043c\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 \u0441 ID 1316: <\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/0eb\/1b2\/f36\/0eb1b2f36a8e8d49062138d8e19ca48b.png\" alt=\"\u041f\u0440\u0438\u043c\u0435\u0440 \u0441\u043e\u0431\u044b\u0442\u0438\u044f Application Event 1316 \u0441 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c VIEWSTATE\" title=\"\u041f\u0440\u0438\u043c\u0435\u0440 \u0441\u043e\u0431\u044b\u0442\u0438\u044f Application Event 1316 \u0441 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c VIEWSTATE\" width=\"809\" height=\"694\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/0eb\/1b2\/f36\/0eb1b2f36a8e8d49062138d8e19ca48b.png\"\/><\/p>\n<div><figcaption><em>\u041f\u0440\u0438\u043c\u0435\u0440 \u0441\u043e\u0431\u044b\u0442\u0438\u044f Application Event 1316 \u0441 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c VIEWSTATE<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u0412 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0435 PersistedState \u0432 \u0441\u043e\u0431\u044b\u0442\u0438\u0438 1316 \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0430\u0435\u0442\u0441\u044f base64-\u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0439 VIEWSTATE, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 (\u0432\u043e \u0432\u0440\u0435\u043c\u044f \u0438\u043b\u0438 \u043f\u043e\u0441\u043b\u0435) \u043a\u0430\u043a \u0440\u0430\u0437 \u0438 \u0432\u044b\u0437\u0432\u0430\u043b Exception, \u0438\u0437-\u0437\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u044d\u0442\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u0435 \u0438 \u043f\u043e\u044f\u0432\u0438\u043b\u043e\u0441\u044c \u0432 \u0436\u0443\u0440\u043d\u0430\u043b\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u0439. \u041f\u043e\u0441\u043b\u0435 \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438\u0437 bas\u043564 VIEWSTATE \u0432\u044b\u0433\u043b\u044f\u0434\u0435\u043b \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/367\/81a\/778\/36781a77876bb3231775f18ddcd8cf3a.png\" alt=\"\u0414\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 VIEWSTATE \u0441 \u0433\u0430\u0434\u0436\u0435\u0442\u043e\u043c ActivitySurrogateDisableTypeCheck\" title=\"\u0414\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 VIEWSTATE \u0441 \u0433\u0430\u0434\u0436\u0435\u0442\u043e\u043c ActivitySurrogateDisableTypeCheck\" width=\"1020\" height=\"638\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/367\/81a\/778\/36781a77876bb3231775f18ddcd8cf3a.png\"\/><\/p>\n<div><figcaption><em>\u0414\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 VIEWSTATE \u0441 \u0433\u0430\u0434\u0436\u0435\u0442\u043e\u043c ActivitySurrogateDisableTypeCheck<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u041f\u0435\u0440\u0432\u044b\u0435 \u0434\u0432\u0430 \u0431\u0430\u0439\u0442\u0430 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0442 \u0441\u043e\u0431\u043e\u0439 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e VIEWSTATE \u2013 FF 01, \u0432\u043e\u0442 \u0435\u0433\u043e \u043e\u0431\u0449\u0430\u044f \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430:<\/p>\n<pre><code class=\"cpp\">struct   SERIALIZED_VIEWSTATE {  byte Marker_Format = 0xFF; \/\/   https:\/\/referencesource.microsoft.com\/#System.Web\/UI\/ObjectStateFormatter.cs,116     byte Marker_Version_1 = 0x01; \/\/ https:\/\/referencesource.microsoft.com\/#System.Web\/UI\/ObjectStateFormatter.cs,117  byte token = 0x32; \/\/   https:\/\/referencesource.microsoft.com\/#System.Web\/UI\/ObjectStateFormatter.cs,90  variable_size length_7BitEncodedInt; \/\/ size may vary: [1-4] bytes,   https:\/\/referencesource.microsoft.com\/#mscorlib\/system\/io\/binaryreader.cs,582  SERIALIZED_DATA d; \/\/ has size of   length_7BitEncodedInt  _HashSize MAC_bytes; \/\/_HashSize depends on validation   algorithm (16, 20 or 32 bytes),   https:\/\/referencesource.microsoft.com\/#System.Web\/Configuration\/MachineKeySection.cs,88  }  struct   SERIALIZED_DATA {  struct SerializationHeaderRecord { \/\/   https:\/\/referencesource.microsoft.com\/#mscorlib\/system\/runtime\/serialization\/formatters\/binary\/binarycommonclasses.cs,455     \u00a0\u00a0\u00a0\u00a0 byte   binaryHeaderEnum = 0x0 (SerializedStreamHeader); \/\/ https:\/\/referencesource.microsoft.com\/#mscorlib\/system\/runtime\/serialization\/formatters\/binary\/binaryenums.cs,27  \u00a0\u00a0\u00a0\u00a0 dword   topId = 0x1;  \u00a0\u00a0\u00a0\u00a0 dword   headerId = 0xFFFFFFFF;  \u00a0\u00a0\u00a0\u00a0 dword majorVersion = 0x1; \/\/   https:\/\/referencesource.microsoft.com\/#mscorlib\/system\/runtime\/serialization\/formatters\/binary\/binarycommonclasses.cs,417  \u00a0\u00a0\u00a0\u00a0 dword minorVersion = 0x0;   \/\/https:\/\/referencesource.microsoft.com\/#mscorlib\/system\/runtime\/serialization\/formatters\/binary\/binarycommonclasses.cs,418  }  data; \/\/ serialized data   itself  }<\/code><\/pre>\n<p>\u041f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u043d\u044b\u0445 \u0432\u044b\u0448\u0435 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440 \u0432\u00a0\u0438\u0441\u0445\u043e\u0434\u043d\u043e\u043c \u043a\u043e\u0434\u0435 \u043d\u0435\u0442\u00a0\u2014 \u044d\u0442\u043e \u043d\u0430\u0448\u0430 \u0438\u043d\u0442\u0435\u0440\u043f\u0440\u0435\u0442\u0430\u0446\u0438\u044f \u0434\u043b\u044f\u00a0\u043b\u0443\u0447\u0448\u0435\u0433\u043e \u043f\u043e\u043d\u0438\u043c\u0430\u043d\u0438\u044f. \u041f\u043e\u00a0\u0441\u0441\u044b\u043b\u043a\u0430\u043c \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0439 \u043a\u043e\u0434 \u0438 \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u0442\u044c\u0441\u044f \u0441\u00a0\u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0441\u0442\u044f\u043c\u0438 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438.<\/p>\n<p>\u0412\u00a0\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u043d\u0430\u0448\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043f\u0440\u0438\u0432\u043b\u0435\u043a \u0433\u0430\u0434\u0436\u0435\u0442 (\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u043a\u043e\u0434 \u0434\u043b\u044f\u00a0\u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0437\u0430\u0434\u0430\u043d\u043d\u044b\u0445 \u043a\u043e\u043c\u0430\u043d\u0434) <em>ActivitySurrogateDisableTypeCheck<\/em>, \u0430\u00a0\u0438\u043c\u0435\u043d\u043d\u043e \u0441\u0442\u0440\u043e\u0447\u043a\u0430 \u00ab<a href=\"https:\/\/github.com\/pwntester\/ysoserial.net\/blob\/1dba9c4416ba6e79b6b262b758fa75e2ee9008e9\/ysoserial\/Generators\/ActivitySurrogateDisableTypeCheck.cs#L48\">xaml_payload<\/a>\u00bb, \u043f\u043e\u00a0\u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043c\u044b \u0432\u044b\u0448\u043b\u0438 \u043d\u0430\u00a0\u0443\u0442\u0438\u043b\u0438\u0442\u0443 ysoserial.net. \u042d\u0442\u043e\u0442 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u0441\u00a0\u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c \u043a\u043e\u0434\u043e\u043c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0434\u043b\u044f\u00a0\u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438. \u0415\u0433\u043e \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435\u00a0\u2014 \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043e\u043a, \u0432\u0432\u0435\u0434\u0435\u043d\u043d\u044b\u0445 \u0432.NET 4.8+ \u0434\u043b\u044f\u00a0\u0434\u0440\u0443\u0433\u043e\u0433\u043e \u0433\u0430\u0434\u0436\u0435\u0442\u0430 <em>ActivitySurrogateSelector<\/em>. \u041e\u043d, \u0432\u00a0\u0441\u0432\u043e\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0442\u044c \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0435.NET \u0441\u0431\u043e\u0440\u043a\u0438 (\u0434\u0430\u043b\u0435\u0435\u00a0\u2014 \u0441\u0431\u043e\u0440\u043a\u0438) \u0432\u00a0\u043f\u0430\u043c\u044f\u0442\u044c. \u0421\u0443\u0434\u044f \u043f\u043e\u00a0\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435 \u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0435\u043c\u044b\u0445 \u043d\u0430\u043c\u0438 VIEWSTATE\u2011\u043d\u0430\u0433\u0440\u0443\u0437\u043e\u043a, \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0438\u0445 \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e ysoserial.net, \u0438 \u0432\u0441\u0435 \u043e\u043d\u0438\u00a0\u0431\u044b\u043b\u0438 \u0433\u0430\u0434\u0436\u0435\u0442\u0430\u043c\u0438 <em>ActivitySurrogateDisableTypeCheck<\/em>.<\/p>\n<p>\u0411\u043e\u043b\u044c\u0448\u0435 \u043d\u0438\u043a\u0430\u043a\u0438\u0445 VIEWSTATE\u2011\u043d\u0430\u0433\u0440\u0443\u0437\u043e\u043a \u043c\u044b \u043d\u0435\u00a0\u043d\u0430\u0448\u043b\u0438. \u0421\u043b\u0435\u0434\u043e\u0432 \u043f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0433\u0430\u0434\u0436\u0435\u0442\u0430 <em>ActivitySurrogateSelector<\/em> \u0442\u0430\u043a\u0436\u0435 \u043d\u0435\u00a0\u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438. \u041e\u0434\u043d\u0430\u043a\u043e \u0441\u043f\u0443\u0441\u0442\u044f \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0432\u0440\u0435\u043c\u044f \u043c\u044b \u0432\u0441\u0435\u2011\u0442\u0430\u043a\u0438 \u043f\u043e\u0439\u043c\u0430\u043b\u0438 \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0438\u0439 payload\u00a0\u2014 \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044f \u043e\u0448\u0438\u0431\u043a\u0435 \u0441\u0430\u043c\u0438\u0445 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432. \u0410\u00a0\u043a\u0430\u043a\u00a0\u0438\u043c\u0435\u043d\u043d\u043e \u043e\u043d\u0438 \u043e\u0448\u0438\u0431\u043b\u0438\u0441\u044c, \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c \u0434\u0430\u043b\u0435\u0435. <\/p>\n<h3>\u0417\u043b\u043e\u0434\u0435\u0438 \u0442\u043e\u0436\u0435 \u043e\u0448\u0438\u0431\u0430\u044e\u0442\u0441\u044f<\/h3>\n<p>\u0423 \u0433\u0430\u0434\u0436\u0435\u0442\u0430 <em>ActivitySurrogateDisableTypeCheck<\/em> \u0435\u0441\u0442\u044c \u0432\u0430\u0436\u043d\u0430\u044f \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044c. \u041e\u043d \u043e\u0442\u043a\u043b\u044e\u0447\u0430\u0435\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 .NET 4.8+ \u043d\u0430 \u0432\u0440\u0435\u043c\u044f \u0436\u0438\u0437\u043d\u0438 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0433\u043e w3wp-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430. \u041a\u0430\u043a \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e, w3wp-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b \u043c\u043e\u0433\u0443\u0442 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c\u0441\u044f:<\/p>\n<ul>\n<li>\n<p> \u043f\u043e \u0440\u0430\u0441\u043f\u0438\u0441\u0430\u043d\u0438\u044e;<\/p>\n<\/li>\n<li>\n<p> \u043f\u0440\u0438 \u0437\u0430\u0432\u0438\u0441\u0430\u043d\u0438\u0438 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0435\u0441\u043b\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u043d\u0435 \u043e\u0442\u0432\u0435\u0442\u0438\u0442 \u043d\u0430 heart beat \u0437\u0430\u043f\u0440\u043e\u0441 IIS);<\/p>\n<\/li>\n<li>\n<p>\u043f\u0440\u0438 \u0440\u0443\u0447\u043d\u043e\u043c \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a\u0435;<\/p>\n<\/li>\n<li>\n<p>\u043f\u043e \u0434\u0440\u0443\u0433\u0438\u043c \u043f\u0440\u0438\u0447\u0438\u043d\u0430\u043c.<\/p>\n<\/li>\n<\/ul>\n<p>\u041d\u043e \u0435\u0441\u043b\u0438\u00a0\u0431\u044b \u043e\u043d\u0438 \u043d\u0435\u00a0\u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043b\u0438\u0441\u044c, \u0442\u043e \u043c\u043e\u0436\u043d\u043e\u00a0\u0431\u044b\u043b\u043e\u00a0\u0431\u044b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u044d\u0442\u043e\u0442 \u0433\u0430\u0434\u0436\u0435\u0442 \u043e\u0434\u0438\u043d \u0440\u0430\u0437 \u0438 \u0431\u043e\u043b\u044c\u0448\u0435 \u043d\u0435\u00a0\u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0442\u044c \u0434\u043e\u00a0\u0442\u0435\u0445 \u043f\u043e\u0440, \u043f\u043e\u043a\u0430 \u00ab\u0436\u0438\u0432\u00bb \u0430\u0442\u0430\u043a\u0443\u0435\u043c\u044b\u0439 w3wp\u2011\u043f\u0440\u043e\u0446\u0435\u0441\u0441.<\/p>\n<p>\u0420\u0430\u0441\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0430\u0435\u0442\u0441\u044f \u0432\u00a0\u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u043d\u044b\u0445 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430\u0445 \u043f\u0443\u043b\u043e\u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 \u0432\u00a0IIS Manager \u0432\u00a0\u0440\u0430\u0437\u0434\u0435\u043b\u0435 Recycling:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/cf1\/cfc\/1ce\/cf1cfc1cef8feb0f1d85aa2f077e1d4b.png\" alt=\"\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a\u0430 worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e\" title=\"\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a\u0430 worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e\" width=\"614\" height=\"413\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/cf1\/cfc\/1ce\/cf1cfc1cef8feb0f1d85aa2f077e1d4b.png\"\/><\/p>\n<div><figcaption><em>\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a\u0430 worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u0423 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u0430 \u0432\u0440\u0435\u043c\u044f \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a\u0430 worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0442\u0432\u0435\u0447\u0430\u043b \u0437\u0430 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 OWA, \u0441\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u043b\u043e 14 \u0434\u043d\u0435\u0439, \u0430 \u043d\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e 29 \u0447\u0430\u0441\u043e\u0432. \u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u043c\u044b \u043d\u0430\u0431\u043b\u044e\u0434\u0430\u043b\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 timeline \u0441\u043e\u0431\u044b\u0442\u0438\u0439:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">11:00\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Event   ID 1316 Viewstate was invalid \u2013 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0430 \u0433\u0430\u0434\u0436\u0435\u0442\u0430 ActivitySurrogateDisableTypeCheck<\/p>\n<p align=\"left\">XX:YY\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a w3wp \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438 \u043f\u043e\u0442\u0435\u0440\u044f \u044d\u0444\u0444\u0435\u043a\u0442\u0430 \u0433\u0430\u0434\u0436\u0435\u0442\u0430 ActivitySurrogateDisableTypeCheck<\/p>\n<p align=\"left\">16:00\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 Event   ID 1316 Viewstate was invalid \u2013 \u043d\u0435\u0443\u0434\u0430\u0447\u043d\u0430\u044f \u043f\u043e\u043f\u044b\u0442\u043a\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f powershell-\u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0438\u0437-\u0437\u0430 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0449\u0435\u043d\u043d\u043e\u0433\u043e w3wp \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0433\u043e \u044d\u0444\u0444\u0435\u043a\u0442\u0430 \u0433\u0430\u0434\u0436\u0435\u0442\u0430 ActivitySurrogateDisableTypeCheck. <\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0418\u043c\u0435\u043d\u043d\u043e \u0432 \u044d\u0442\u043e\u043c \u0441\u043e\u0431\u044b\u0442\u0438\u0438 \u0432 PersistedState \u043d\u0430\u0445\u043e\u0434\u0438\u043b\u0430\u0441\u044c VIEWSTATE-\u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u043b\u0430 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u043c \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c powershell-\u043a\u043e\u043c\u0430\u043d\u0434\u044b. \u0422\u043e \u0435\u0441\u0442\u044c, \u0441\u0443\u0434\u044f \u043f\u043e \u0432\u0441\u0435\u043c\u0443, \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0434\u043e\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u043e\u0448\u0438\u0431\u043a\u0443 \u0438 \u0437\u0430\u0431\u044b\u043b\u0438 \u201c\u0430\u043a\u0442\u0438\u0432\u0438\u0440\u043e\u0432\u0430\u0442\u044c\u201d \u0433\u0430\u0434\u0436\u0435\u0442 <em>ActivitySurrogateDisableTypeCheck<\/em>, \u0442\u0430\u043a \u043a\u0430\u043a, \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0434\u0443\u043c\u0430\u043b\u0438, \u0447\u0442\u043e \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u043b\u0441\u044f \u044d\u0444\u0444\u0435\u043a\u0442 \u043e\u0442 \u043f\u0440\u043e\u0448\u043b\u043e\u0433\u043e \u0433\u0430\u0434\u0436\u0435\u0442\u0430, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0432 11:00.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438\u0437 bas\u043564 VIEWSTATE \u0432\u044b\u0433\u043b\u044f\u0434\u0435\u043b \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/257\/2ef\/20d\/2572ef20d504d918ee10132f1f4d2661.png\" alt=\"\u0414\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 VIEWSTATE \u0441 \u0433\u0430\u0434\u0436\u0435\u0442\u043e\u043c ActivitySurrogateSelector \u0438 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u043e\u0439\" title=\"\u0414\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 VIEWSTATE \u0441 \u0433\u0430\u0434\u0436\u0435\u0442\u043e\u043c ActivitySurrogateSelector \u0438 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u043e\u0439\" width=\"1006\" height=\"571\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/257\/2ef\/20d\/2572ef20d504d918ee10132f1f4d2661.png\"\/><\/p>\n<div><figcaption><em>\u0414\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 VIEWSTATE \u0441 \u0433\u0430\u0434\u0436\u0435\u0442\u043e\u043c ActivitySurrogateSelector \u0438 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u043e\u0439<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u042d\u0442\u043e \u0431\u044b\u043b \u0433\u0430\u0434\u0436\u0435\u0442 <em>ActivitySurrogateSelector<\/em>. \u041e\u043d \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b \u0432 \u043f\u0430\u043c\u044f\u0442\u044c \u0441\u0431\u043e\u0440\u043a\u0443 \u0432 \u0432\u0438\u0434\u0435 dll-\u0444\u0430\u0439\u043b\u0430 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e <em>Assembly.Load(byte[])<\/em> \u0438 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043b \u0435\u0451 \u0432\u044b\u0437\u043e\u0432\u043e\u043c \u043a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0442\u043e\u0440\u0430 \u0441\u0431\u043e\u0440\u043a\u0438. \u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0432\u044b\u044f\u0441\u043d\u0438\u043b\u043e\u0441\u044c, \u0447\u0442\u043e dll \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u043b\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c powershell-\u043a\u043e\u043c\u0430\u043d\u0434\u044b (\u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0441\u0442\u0438 \u0434\u0430\u043b\u0435\u0435). <\/p>\n<p>\u0422\u0430\u043a \u043c\u044b, \u043d\u0430\u043a\u043e\u043d\u0435\u0446, \u043f\u043e\u043d\u044f\u043b\u0438, \u043a\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043a\u0430\u043a\u043e\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0432\u043d\u043e\u0432\u044c \u0438 \u0432\u043d\u043e\u0432\u044c \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u043b\u0438 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0435 \u0432 \u0441\u0435\u0442\u0438 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u0430. \u041c\u044b \u0440\u0430\u0441\u043f\u043e\u0437\u043d\u0430\u043b\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e VIEWSTATE, \u0434\u043b\u044f \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0439 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0437\u043d\u0430\u0442\u044c <strong>\u043a\u0430\u043a \u043c\u0438\u043d\u0438\u043c\u0443\u043c \u043a\u043b\u044e\u0447 \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 VIEWSTATE<\/strong>. \u0412 \u0442\u043e\u0442 \u043c\u043e\u043c\u0435\u043d\u0442 \u043a\u043b\u044e\u0447\u0438 \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 \u043f\u0443\u043b\u0430 OWA \u0443 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u0430 \u0431\u044b\u043b\u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u044b \u0432 \u0440\u0435\u0436\u0438\u043c\u0435 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438.<\/p>\n<p>\u0414\u043b\u044f \u0437\u0430\u043c\u0435\u043d\u044b \u043a\u043b\u044e\u0447\u0435\u0439 \u043c\u044b \u043f\u0440\u043e\u0431\u043e\u0432\u0430\u043b\u0438 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c \u043f\u0443\u043b\u044b \u0438 \u0434\u0430\u0436\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0442\u044c \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u044b, \u043d\u043e \u044d\u0442\u043e \u043d\u0435 \u043f\u0440\u0438\u043d\u0435\u0441\u043b\u043e \u0436\u0435\u043b\u0430\u0435\u043c\u043e\u0433\u043e \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430. \u0412\u043e \u043c\u043d\u043e\u0433\u0438\u0445 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0445 \u0441\u0442\u0430\u0442\u044c\u044f\u0445, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u0432\u044f\u0437\u0430\u043d\u044b \u0441 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0435\u0439 VIEWSTATE, \u043f\u0440\u0438\u0432\u043e\u0434\u044f\u0442 \u0440\u0430\u0441\u043f\u043b\u044b\u0432\u0447\u0430\u0442\u044b\u0435 \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0438 \u043d\u0430 \u044d\u0442\u043e\u0442 \u0441\u043b\u0443\u0447\u0430\u0439:<\/p>\n<ol>\n<li>\n<p><a href=\"https:\/\/soroush.me\/blog\/2019\/05\/danger-of-stealing-auto-generated-net-machine-keys\/\">Danger of stealing auto generated net machine keys (Soroush Dalili, 2019)<\/a><\/p>\n<\/li>\n<\/ol>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">\u201cRecommendation:<\/p>\n<p align=\"left\">Create a new Application Pool for   your ASP.NET application when you need to reset all the credentials for any   reasons. This will ensure that a new ASP.NET key will be generated for the   application.\u201d<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0422\u043e \u0435\u0441\u0442\u044c \u0434\u043b\u044f \u00ab\u0441\u0431\u0440\u043e\u0441\u0430\u00bb \u043a\u043b\u044e\u0447\u0435\u0439 \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0443\u0435\u0442\u0441\u044f \u0441\u043e\u0437\u0434\u0430\u0442\u044c \u043f\u0443\u043b \u0437\u0430\u043d\u043e\u0432\u043e. \u0412\u00a0\u0441\u043b\u0443\u0447\u0430\u0435 \u0441\u00a0Exchange\u2011\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u044d\u0442\u043e \u043d\u0435\u00a0\u0442\u0430\u043a \u0443\u0436 \u043f\u0440\u043e\u0441\u0442\u043e. \u0421\u043b\u043e\u0436\u043d\u0435\u0435, \u043d\u0430\u0432\u0435\u0440\u043d\u043e\u0435, \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u043e\u043b\u043d\u0430\u044f \u043f\u0435\u0440\u0435\u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 Exchange. \u0412\u043f\u0440\u043e\u0447\u0435\u043c, \u043a\u0430\u043a\u00a0\u043e\u043a\u0430\u0437\u0430\u043b\u043e\u0441\u044c, \u0434\u0430\u0436\u0435 \u043f\u0435\u0440\u0435\u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430 Exchange \u043d\u0435\u00a0\u043f\u043e\u043c\u043e\u0436\u0435\u0442 \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c auto generated\u2011\u043a\u043b\u044e\u0447\u0438, \u0442\u0430\u043a \u043a\u0430\u043a\u00a0\u043c\u0430\u0441\u0442\u0435\u0440\u2011\u043a\u043b\u044e\u0447 \u043d\u0435\u00a0\u0443\u0434\u0430\u043b\u044f\u0435\u0442\u0441\u044f \u0438\u0437\u00a0\u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043f\u0440\u0438\u00a0\u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e\u0439 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0435 \u0431\u0443\u0434\u0443\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u044b \u0442\u0435\u00a0\u0436\u0435 \u0441\u0430\u043c\u044b\u0435 \u043a\u043b\u044e\u0447\u0438. <\/p>\n<ol start=\"2\">\n<li>\n<p><a href=\"https:\/\/www.sygnia.co\/threat-reports-and-advisories\/praying-mantis-an-advanced-memory-resident-attack\/\">Praying Mantis An Advanced Memory Resident Attack (Sygnia, 2021)<\/a><\/p>\n<\/li>\n<\/ol>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">\u201cIn addition to these security measures, encryption and validation keys should be handled with care as sensitive credentials. If possible, use auto\u2011generated keys, otherwise routinely rotate the machine keys on your IIS servers to make sure you would not be susceptible to attacks where keys were stolen or leaked.\u201d<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0420\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0443\u0435\u0442\u0441\u044f \u043f\u043e \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u043a\u043b\u044e\u0447\u0438, \u043d\u043e \u043d\u0435\u0442 \u043d\u0438\u043a\u0430\u043a\u0438\u0445 \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0439, \u0447\u0442\u043e \u0434\u0435\u043b\u0430\u0442\u044c \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u0438\u0445 \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438.<\/p>\n<ol start=\"3\">\n<li>\n<p><a href=\"https:\/\/www.mandiant.com\/resources\/blog\/apt41-us-state-governments\">Does This Look Infected? A Summary of APT41 Targeting U.S. State Governments (Mandiant, 2022)<\/a><\/p>\n<\/li>\n<\/ol>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">\u201cGenerating unique machineKey   values is critical to the security of an ASP.NET web application because the   values are used to secure the integrity of the ViewState.\u201d<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0445 \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0439 \u043d\u0435\u0442. \u0412 \u0441\u0442\u0430\u0442\u044c\u0435 \u043e\u0431\u0440\u0430\u0449\u0430\u044e\u0442 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e\u0431\u044b \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u043a\u043b\u044e\u0447\u0435\u0439 \u0431\u044b\u043b\u0438 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u043c\u0438. \u0412 \u0441\u043b\u0443\u0447\u0430\u0435 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439 \u043e\u043d\u0438 \u0431\u0443\u0434\u0443\u0442 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u043c\u0438, \u043d\u043e \u0441\u043d\u043e\u0432\u0430 \u043d\u0435\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438, \u0447\u0442\u043e \u0434\u0435\u043b\u0430\u0442\u044c \u043f\u0440\u0438 \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438 \u044d\u0442\u0438\u0445 \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439.<\/p>\n<p>\u041a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0435 \u043c\u0435\u0440\u044b \u0431\u044b\u043b\u0438 \u043e\u043f\u0438\u0441\u0430\u043d\u044b \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u044f\u0445 <a href=\"https:\/\/www.cyber.gov.au\/about-us\/advisories\/2020-006-detecting-and-mitigating-exploitation-vulnerability-microsoft-internet-information-services\">2020-006<\/a> \u043e\u0442 ACSC \u0432 \u0438\u044e\u043d\u0435 2020, \u043d\u043e \u0442\u0430\u043c \u043d\u0435 \u0440\u0430\u0441\u043a\u0440\u044b\u0432\u0430\u043b\u043e\u0441\u044c, \u043a\u0430\u043a \u043c\u0435\u043d\u044f\u0442\u044c \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u043a\u043b\u044e\u0447\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u0432 Exchange-\u0441\u0435\u0440\u0432\u0435\u0440\u0430\u0445.<\/p>\n<h3>\u041d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u043b\u043e\u0432 \u043e\u0431 \u0430\u0442\u0440\u0438\u0431\u0443\u0446\u0438\u0438<\/h3>\n<p>\u041e\u0442\u043c\u0435\u0442\u0438\u043c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0444\u0430\u043a\u0442\u043e\u0432 \u043a\u0430\u0441\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u0430\u0442\u0440\u0438\u0431\u0443\u0446\u0438\u0438 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043d\u0430\u043c\u0438 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u043e\u0432. <br \/> \u041f\u0440\u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u043d\u0430 \u0430\u0442\u0430\u043a\u0443 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0438 Obstinate Mogwai \u043c\u044b \u043d\u0430\u0431\u043b\u044e\u0434\u0430\u043b\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0443\u044e \u0442\u0435\u0445\u043d\u0438\u043a\u0443 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0432 \u043f\u0430\u043c\u044f\u0442\u044c .NET \u0431\u044d\u043a\u0434\u043e\u0440\u0430:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">powershell   exec bypass -f c:\\programdata\\microsoft\\WDF\\ctfmon.ps1<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0417\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u043c\u044b\u0439 \u0432 \u043f\u0430\u043c\u044f\u0442\u044c \u0431\u044d\u043a\u0434\u043e\u0440 \u0438\u043c\u0435\u043b \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0441\u0445\u043e\u0434\u0441\u0442\u0432\u043e \u0441 C++ \u0432\u0435\u0440\u0441\u0438\u0435\u0439 \u0431\u044d\u043a\u0434\u043e\u0440\u0430 KingOfHearts \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0438 IAmTheKing, \u043f\u0440\u043e \u043a\u043e\u0442\u043e\u0440\u0443\u044e <a href=\"https:\/\/securelist.com\/iamtheking-and-the-slothfulmedia-malware-family\/99000\/\">\u043f\u0438\u0441\u0430\u043b\u0438<\/a><u> <\/u>\u0432 2020 \u0433. <\/p>\n<p>\u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f Powershell \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u043b\u0441\u044f \u0444\u0430\u0439\u043b <sub>C:\\ProgramData\\Microsoft\\WDF\\WDF.log<\/sub>, \u0438 \u0432 \u043f\u0430\u043c\u044f\u0442\u044c <sub>powershell.exe<\/sub> \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0430\u0441\u044c .NET \u0441\u0431\u043e\u0440\u043a\u0430, \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0449\u0430\u044f \u0441\u043e\u0431\u043e\u0439 \u0431\u044d\u043a\u0434\u043e\u0440. <sub>ctfmon.ps1<\/sub> \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u0432\u0435\u0441\u0438\u043b 13MB, \u0442\u0430\u043a \u043a\u0430\u043a \u0431\u044b\u043b \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w780q1\/getpro\/habr\/upload_files\/ed6\/512\/42f\/ed651242fc349cfc6381c8d7da4f9ab2.jpg\" width=\"826\" height=\"582\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/ed6\/512\/42f\/ed651242fc349cfc6381c8d7da4f9ab2.jpg\" data-blurred=\"true\"\/><\/figure>\n<p>\u0418\u043c\u0435\u043d\u043d\u043e \u0442\u0430\u043a\u0443\u044e \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u0443\u044e \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u044e \u043c\u044b \u0443\u0436\u0435 \u043d\u0430\u0431\u043b\u044e\u0434\u0430\u043b\u0438 \u0432 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430\u0445 2020-2021 \u0433\u043e\u0434\u043e\u0432, \u043f\u0440\u043e \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u043b\u0438 \u0432 2021\u00a0\u0433\u043e\u0434\u0443 \u0432\u00a0\u0434\u043e\u043a\u043b\u0430\u0434\u0435 <a href=\"https:\/\/www.youtube.com\/watch?v=CcsI3eeG5l0\">\u00abOperation LongChain. \u0418\u0441\u0442\u043e\u0440\u0438\u044f \u043e\u0434\u043d\u043e\u0433\u043e \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f\u00bb<\/a>.<\/p>\n<p><a href=\"https:\/\/www.mandiant.com\/resources\/blog\/apt41-us-state-governments\">\u041f\u043e\u00a0\u0434\u0430\u043d\u043d\u044b\u043c Mandiant<\/a>, APT41\u00a0\u0432\u00a0\u0438\u044e\u043d\u0435 2020\u00a0\u0433\u043e\u0434\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0430 \u043f\u0440\u0438\u00a0\u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE \u0433\u0430\u0434\u0436\u0435\u0442 <em>ActivitySurrogateDisableTypeCheck<\/em>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043c\u044b \u0442\u0430\u043a\u0436\u0435 \u043d\u0430\u0431\u043b\u044e\u0434\u0430\u043b\u0438 \u043f\u0440\u0438\u00a0\u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0438 \u0432\u00a0\u043d\u0430\u0448\u0435\u043c \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0435. \u0418\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u043e\u0442 \u0433\u0430\u0434\u0436\u0435\u0442 \u043f\u043e\u0434\u0432\u0435\u043b \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432 \u0438 \u043f\u043e\u043c\u043e\u0433 \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u044c \u043e\u0434\u043d\u0443 \u0438\u0437\u00a0\u0441\u0431\u043e\u0440\u043e\u043a \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430.<\/p>\n<p>\u0412\u00a0\u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0435 Obstinate Mogwai \u0434\u043b\u044f\u00a0\u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u0430\u0442\u0430\u043a \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0441\u0432\u043e\u0439 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0442\u043b\u0438\u0447\u0430\u043b\u0441\u044f \u043e\u0442\u00a0js_eval, \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0433\u043e \u0432 <a href=\"https:\/\/www.cyber.gov.au\/sites\/default\/files\/2023-02\/ACSC-Advisory-2020-008-Copy-Paste-Compromises.pdf\">\u043a\u0435\u0439\u0441\u0435 ACSC \u0432 2020\u00a0\u0433\u043e\u0434\u0443<\/a>.<\/p>\n<p>\u0414\u0440\u0443\u0433\u0438\u043c\u0438 \u0441\u043b\u043e\u0432\u0430\u043c\u0438, \u043d\u0430\u0434\u0451\u0436\u043d\u0430\u044f \u0430\u0442\u0440\u0438\u0431\u0443\u0446\u0438\u044f \u0430\u0442\u0430\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u044b \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043b\u0438, \u043a\u00a0\u043a\u0430\u043a\u043e\u0439\u2011\u043b\u0438\u0431\u043e \u0438\u0437\u00a0\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0445 APT\u2011\u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043e\u043a\u00a0\u2014 \u0434\u0435\u043b\u043e \u043d\u0435\u043f\u0440\u043e\u0441\u0442\u043e\u0435, \u0442\u0430\u043a \u043a\u0430\u043a\u00a0\u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0430\u0437\u0438\u0430\u0442\u0441\u043a\u0438\u0435 \u0433\u0440\u0443\u043f\u043f\u044b \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043d\u043e \u0437\u0430\u0438\u043c\u0441\u0442\u0432\u0443\u044e\u0442 \u0434\u0440\u0443\u0433 \u0443\u00a0\u0434\u0440\u0443\u0433\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439. \u0412\u00a0\u0431\u0443\u0434\u0443\u0449\u0435\u043c \u043c\u044b \u043f\u043e\u0441\u0432\u044f\u0442\u0438\u043c \u044d\u0442\u043e\u043c\u0443 \u0432\u043e\u043f\u0440\u043e\u0441\u0443 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u0443\u044e \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u044e.<\/p>\n<h2>VIEWSTATE exploitation framework<\/h2>\n<p>VIEWSTATE exploitation framework\u00a0\u2014 \u043d\u0430\u0448\u0435 \u0438\u043c\u044f \u0434\u043b\u044f\u00a0\u043d\u0430\u0431\u043e\u0440\u0430 \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0432\/\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u043e\u043f\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0432\u00a0\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u043c\u043e\u0439 \u0430\u0442\u0430\u043a\u0435. \u041d\u0430\u00a0\u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0438\u0438 \u043f\u0440\u043e\u0434\u0435\u043b\u0430\u043d\u043d\u043e\u0433\u043e \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043c\u044b \u043f\u0440\u0438\u0448\u043b\u0438 \u043a\u00a0\u0432\u044b\u0432\u043e\u0434\u0443, \u0447\u0442\u043e\u00a0\u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440 \u043f\u0440\u0438\u00a0\u043f\u0440\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0438 \u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0445 \u0430\u0442\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043d\u0430\u00a0\u0431\u043e\u043b\u0435\u0435 \u0432\u044b\u0441\u043e\u043a\u043e\u043c \u0443\u0440\u043e\u0432\u043d\u0435\u00a0\u2014 \u0443\u00a0\u043d\u0435\u0433\u043e \u0438\u043c\u0435\u0435\u0442\u0441\u044f \u043d\u0435\u0447\u0442\u043e \u0432\u0440\u043e\u0434\u0435 \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0438, \u043a\u0443\u0434\u0430 \u043e\u043d \u0432\u0432\u043e\u0434\u0438\u0442 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u0432\u00a0\u0443\u0434\u043e\u0431\u043d\u043e\u043c \u0444\u043e\u0440\u043c\u0430\u0442\u0435.<\/p>\n<p>\u041d\u0430\u00a0\u044d\u0442\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043e\u0434\u043d\u0430 \u0438\u0437\u00a0\u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u0435\u0439 \u0440\u0430\u0431\u043e\u0442\u044b \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430, \u0430\u00a0\u0438\u043c\u0435\u043d\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e\u0434\u00a0\u043a\u0430\u0436\u0434\u043e\u0435 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0439 \u0441\u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u043d\u0430\u00a0\u0445\u043e\u0434\u0443 \u0441\u0431\u043e\u0440\u043a\u0438. \u041d\u0430\u043c \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u0434\u043e\u0441\u0442\u0430\u0442\u044c \u0438\u0437\u00a0\u043f\u0430\u043c\u044f\u0442\u0438 \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e worker\u2011\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0444\u0430\u0439\u043b\u044b:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>Assembly   name<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>Compilation   timestamp<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>Main   class name<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>POST query param name<br \/>   to fetch data from<\/strong><\/p>\n<\/td>\n<td data-colwidth=\"104\" width=\"104\">\n<p align=\"left\"><strong>Number   of extracted assemblies<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>Action<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Microsoft.Exchange.Management.Powershell.Support.dll<\/p>\n<\/td>\n<td rowspan=\"2\">\n<p align=\"left\">2023-01-04 09:11:36<\/p>\n<\/td>\n<td>\n<p align=\"left\">Ps<\/p>\n<\/td>\n<td>\n<p align=\"left\">cadata<\/p>\n<\/td>\n<td data-colwidth=\"104\" width=\"104\">\n<p align=\"left\">8<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c powershell \u043a\u043e\u043c\u0430\u043d\u0434\u0443, \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u0432 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0435 <em>cadata<\/em>   POST-\u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u0432\u044b\u0432\u043e\u0434 \u0432 \u043e\u0442\u0432\u0435\u0442\u0435<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Microsoft.Exchange.MessageSecurity.dll<\/p>\n<\/td>\n<td>\n<p align=\"left\">FileDown<\/p>\n<\/td>\n<td>\n<p align=\"left\">cadataIV<\/p>\n<\/td>\n<td data-colwidth=\"104\" width=\"104\">\n<p align=\"left\">2<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u044d\u043a\u0441\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u044e \u0444\u0430\u0439\u043b\u0430 \u043f\u043e \u043f\u0443\u0442\u0438, \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u043c \u0432 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0435 <em>cadataIV<\/em><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Microsoft.Exchange.UM.UMCommon.dll<\/p>\n<\/td>\n<td>\n<p align=\"left\">2023-01-04 09:11:35<\/p>\n<\/td>\n<td>\n<p align=\"left\">FileView<\/p>\n<\/td>\n<td>\n<p align=\"left\">cadataSig<\/p>\n<\/td>\n<td data-colwidth=\"104\" width=\"104\">\n<p align=\"left\">1<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041e\u0442\u043e\u0431\u0440\u0430\u0437\u0438\u0442\u044c \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0435 \u0444\u0430\u0439\u043b\u0430 \u0438\u043b\u0438 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430, \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u0445 \u0432 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0435 <em>cadataSig<\/em><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0414\u0430\u0442\u044b \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u0438 \u0440\u0430\u0437\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043e\u043a \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u044e\u0442. \u041a\u043e\u043d\u0435\u0447\u043d\u043e, \u0432\u00a0\u043d\u0430\u0448\u0435\u043c \u0440\u0430\u0441\u043f\u043e\u0440\u044f\u0436\u0435\u043d\u0438\u0438 \u0434\u043e\u0432\u043e\u043b\u044c\u043d\u043e \u043d\u0435\u0431\u043e\u043b\u044c\u0448\u0430\u044f \u0432\u044b\u0431\u043e\u0440\u043a\u0430, \u043d\u043e, \u0441\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u043e\u043d\u0430 \u0441\u0432\u0438\u0434\u0435\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u0443\u0435\u0442 \u043e\u00a0\u0442\u043e\u043c, \u0447\u0442\u043e\u00a0\u0432\u0441\u0435 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b\u0435 \u0441\u0431\u043e\u0440\u043a\u0438 \u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u043a\u0430\u043a\u0438\u043c\u2011\u043b\u0438\u0431\u043e \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u043c \u0434\u043b\u044f\u00a0\u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0432\u043e\u00a0\u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0435. \u0412\u00a0\u0443\u0442\u0438\u043b\u0438\u0442\u0435 ysoserial.net \u00ab\u0438\u0437 \u043a\u043e\u0440\u043e\u0431\u043a\u0438\u00bb \u0433\u0430\u0434\u0436\u0435\u0442 <em>ActivitySurrogateSelectorFromFile<\/em> \u0442\u0440\u0435\u0431\u0443\u0435\u0442 \u043d\u0430\u00a0\u0432\u0445\u043e\u0434 cs\u2011\u0444\u0430\u0439\u043b \u0438 \u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u0443\u0435\u0442 \u0435\u0433\u043e \u043f\u0440\u0438\u00a0\u043a\u0430\u0436\u0434\u043e\u043c \u0437\u0430\u043f\u0443\u0441\u043a\u0435. \u041d\u043e\u00a0\u043d\u0438\u0447\u0442\u043e \u043d\u0435\u00a0\u043c\u0435\u0448\u0430\u0435\u0442 \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u044d\u0442\u043e \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435: \u0437\u0430\u0440\u0430\u043d\u0435\u0435 \u0441\u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432\u0441\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0435 \u0441\u0431\u043e\u0440\u043a\u0438 \u0438 \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0440\u0430\u0437\u043d\u044b\u0435 VIEWSTATE \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0432\u00a0\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442\u00a0\u043a\u043b\u044e\u0447\u0435\u0439 \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438. \u0422\u0430\u043a\u0436\u0435 \u043e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e\u00a0\u0443\u00a0\u0432\u0441\u0435\u0445 \u0441\u0431\u043e\u0440\u043e\u043a \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 TypeLib ID.\u00a0\u041b\u0438\u0431\u043e \u043e\u043d\u00a0\u0431\u044b\u043b \u0443\u0434\u0430\u043b\u0451\u043d \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e,\u00a0\u043b\u0438\u0431\u043e \u0441\u0431\u043e\u0440\u043a\u0438 \u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u0432\u00a0\u0440\u0435\u0436\u0438\u043c\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 (\u043a\u0430\u043a, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0432\u00a0ysoserial.net).<\/p>\n<p>\u041a\u0430\u0436\u0434\u0430\u044f \u0441\u0431\u043e\u0440\u043a\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u043b\u0430 \u0434\u0430\u043d\u043d\u044b\u0435 \u0432\u00a0\u043e\u0434\u043d\u043e\u043c \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0435 POST\u2011\u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u0432\u00a0XOR\u2011\u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0438 \u0432\u00a0base64-\u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435. \u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e\u00a0\u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u043d\u0435\u00a0\u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b. \u0418\u043c\u0435\u043d\u043d\u043e \u0442\u0430\u043a\u0438\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u0432\u00a0cookies \u0432\u00a0\u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0435 FBA (Form\u2011based Authentication\u00a0\u2014 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0439 \u043c\u043e\u0434\u0443\u043b\u044c IIS, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u0437\u0430\u00a0\u043a\u043e\u043d\u0432\u0435\u0440\u0442\u0430\u0446\u0438\u044e \u043f\u0430\u0440\u044b \u0438\u043c\u0435\u043d\u0438 \u0438 \u043f\u0430\u0440\u043e\u043b\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0432\u00a0cookies \u0438 \u043e\u0431\u0440\u0430\u0442\u043d\u043e):<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/9b9\/641\/487\/9b9641487c7702da4edcaca53430f533.png\" alt=\"\u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b cookies \u0432 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0435 FBA (\u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a)\" title=\"\u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b cookies \u0432 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0435 FBA (\u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a)\" width=\"566\" height=\"237\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/9b9\/641\/487\/9b9641487c7702da4edcaca53430f533.png\"\/><\/p>\n<div><figcaption><em>\u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b cookies \u0432 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0435 FBA (<\/em><a href=\"https:\/\/devco.re\/blog\/2021\/08\/06\/a-new-attack-surface-on-MS-exchange-part-2-ProxyOracle\/\"><em>\u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a<\/em><\/a><em>)<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u042d\u0442\u0438\u0445 cookies \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 Exchange (\u043f\u0443\u043b OWA) \u043e\u0447\u0435\u043d\u044c \u043c\u043d\u043e\u0433\u043e, \u0447\u0442\u043e \u0437\u043d\u0430\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0443\u0441\u043b\u043e\u0436\u043d\u044f\u0435\u0442 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 POST-\u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432. \u041d\u0430\u043c \u043d\u0435 \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043d\u0438 \u043e\u0434\u0438\u043d \u0437\u0430\u043f\u0440\u043e\u0441, \u0442\u0430\u043a \u043a\u0430\u043a, \u0441\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, garbage collector \u0438\u0445 \u0443\u0434\u0430\u043b\u0438\u043b \u0438\u0437-\u0437\u0430 \u0431\u043e\u043b\u044c\u0448\u043e\u0439 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438 \u0441\u0430\u043c\u043e\u0433\u043e worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0433\u043e \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0441\u0431\u043e\u0440\u043a\u0438 (Ps, FileView \u0438 FileDown) \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u043b\u0438 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e XOR \u043e\u0442\u0432\u0435\u0442 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c. \u041a\u043b\u044e\u0447 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0432\u043e \u0432\u0441\u0435\u0445 \u0441\u0431\u043e\u0440\u043a\u0430\u0445 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f \u043e\u0434\u0438\u043d \u0438 \u0442\u043e\u0442 \u0436\u0435:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">45 AF 33 27 56   DF CA BB 12 67 9A 52 63 B8 2B C7 62 1F 10 8D 15<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0412 <a href=\"#_VIEWSTATE_exploitation_framework\">\u0442\u0430\u0431\u043b\u0438\u0446\u0435<\/a> \u0432\u044b\u0448\u0435 \u043c\u044b \u043f\u0440\u0438\u0432\u0435\u043b\u0438 \u0441\u0442\u043e\u043b\u0431\u0435\u0446 <strong>Number of extracted assemblies, <\/strong>\u0447\u0442\u043e\u0431\u044b \u043f\u043e\u0434\u0447\u0435\u0440\u043a\u043d\u0443\u0442\u044c \u0432\u044b\u0448\u0435\u0443\u043f\u043e\u043c\u044f\u043d\u0443\u0442\u0443\u044e \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044c \u0440\u0430\u0431\u043e\u0442\u044b VIEWSTATE Exploitation Framework\u00a0\u2014 \u043e\u0434\u043d\u043e \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435\u00a0\u2014 \u043e\u0434\u043d\u0430 \u0441\u0431\u043e\u0440\u043a\u0430.<\/p>\n<p>\u042d\u0442\u043e \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0447\u0442\u043e\u00a0\u0434\u043b\u044f\u00a0\u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043e\u0434\u043d\u043e\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u044b powershell \u0431\u0443\u0434\u0435\u0442 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u0435\u043d \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 POST\u2011\u0437\u0430\u043f\u0440\u043e\u0441 \u0441\u00a0Ps\u2011\u0441\u0431\u043e\u0440\u043a\u043e\u0439. \u0415\u0441\u043b\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0441\u043d\u043e\u0432\u0430 \u0437\u0430\u0445\u043e\u0447\u0435\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c powershell\u2011\u043a\u043e\u043c\u0430\u043d\u0434\u0443, \u0442\u043e \u0431\u0443\u0434\u0435\u0442 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u0435\u043d \u0442\u043e\u0442\u00a0\u0436\u0435 POST\u2011\u0437\u0430\u043f\u0440\u043e\u0441, \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0449\u0438\u0439 VIEWSTATE \u0441\u00a0Ps\u2011\u0441\u0431\u043e\u0440\u043a\u043e\u0439, \u043d\u043e\u00a0\u0441\u00a0\u0434\u0440\u0443\u0433\u0438\u043c \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u043c <em>cadata<\/em>. \u0412\u00a0\u043f\u0430\u043c\u044f\u0442\u0438 \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e worker\u2011\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u044d\u0442\u043e \u0431\u0443\u0434\u0435\u0442 \u0432\u044b\u0433\u043b\u044f\u0434\u0435\u0442\u044c \u0442\u0430\u043a:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/bae\/81c\/015\/bae81c015df90ac771c5d1f2914244cd.png\" alt=\"\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 .NET Ps-\u0441\u0431\u043e\u0440\u043a\u0438 \u0432 worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 w3wp (\u043f\u0443\u043b OWA) \u0432 Process Hacker\" title=\"\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 .NET Ps-\u0441\u0431\u043e\u0440\u043a\u0438 \u0432 worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 w3wp (\u043f\u0443\u043b OWA) \u0432 Process Hacker\" width=\"1070\" height=\"410\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/bae\/81c\/015\/bae81c015df90ac771c5d1f2914244cd.png\"\/><\/p>\n<div><figcaption><em>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 .NET Ps-\u0441\u0431\u043e\u0440\u043a\u0438 \u0432 worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 w3wp (\u043f\u0443\u043b OWA) \u0432 Process Hacker<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u0412\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0432 \u0430\u0434\u0440\u0435\u0441\u043d\u043e\u0435 \u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0441\u0442\u0432\u043e \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e w3wp-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u044b \u043e\u0434\u043d\u0438 \u0438 \u0442\u0435 \u0436\u0435 \u0441\u0431\u043e\u0440\u043a\u0438 <sub>Microsoft.Exchange.Management.Powershell.Support.dll<\/sub>, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u044e\u0442 powershell-\u043a\u043e\u043c\u0430\u043d\u0434\u0443. <\/p>\n<p>\u0420\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0441\u0431\u043e\u0440\u043a\u0438, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0435 Obstinate Mogwai, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043d\u0430\u043c \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u0438\u0437\u0432\u043b\u0435\u0447\u044c.<\/p>\n<h3>Ps-\u0441\u0431\u043e\u0440\u043a\u0430<\/h3>\n<p>\u0421\u0431\u043e\u0440\u043a\u0430 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0430 \u0434\u043b\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e XOR Powershell-\u043a\u043e\u043c\u0430\u043d\u0434\u044b, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442\u0441\u044f \u0432 POST-\u0437\u0430\u043f\u0440\u043e\u0441\u0435 \u0432 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0435 <em>cadata<\/em>. \u041e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e \u0434\u043e\u0447\u0435\u0440\u043d\u0438\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 powershell.exe \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u043d\u0435 \u0441\u043e\u0437\u0434\u0430\u0435\u0442\u0441\u044f \u0438\u0437-\u0437\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u043a\u043b\u0430\u0441\u0441\u0430 PowerShell \u0438\u0437 \u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0441\u0442\u0432\u0430 \u0438\u043c\u0451\u043d System.Management.Automation.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/53a\/236\/af7\/53a236af7e2a72519666ed626f8b630f.png\" alt=\"\u041e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b Ps-\u0441\u0431\u043e\u0440\u043a\u0438\" title=\"\u041e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b Ps-\u0441\u0431\u043e\u0440\u043a\u0438\" width=\"875\" height=\"511\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/53a\/236\/af7\/53a236af7e2a72519666ed626f8b630f.png\"\/><\/p>\n<div><figcaption><em>\u041e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b Ps-\u0441\u0431\u043e\u0440\u043a\u0438<\/em><\/figcaption><\/div>\n<\/figure>\n<h3>FileDown-\u0441\u0431\u043e\u0440\u043a\u0430<\/h3>\n<p>\u0421\u0431\u043e\u0440\u043a\u0430 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0430 \u0434\u043b\u044f \u044d\u043a\u0441\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0438 \u0444\u0430\u0439\u043b\u0430, \u043f\u0443\u0442\u044c \u0434\u043e \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432 XOR-\u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0438 base64-\u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435 \u0432 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0435 <em>cadataIV<\/em>.<\/p>\n<h3>FileView-\u0441\u0431\u043e\u0440\u043a\u0430<\/h3>\n<p>\u0421\u0431\u043e\u0440\u043a\u0430 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0430 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0445 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 \u0438\u043b\u0438 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430, \u043f\u0443\u0442\u044c \u0434\u043e \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0432 XOR-\u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0438 base64-\u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435 \u0432 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0435 <em>cadataSig<\/em>.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/9bb\/f88\/320\/9bbf883202f10242b104b9df88818a9a.png\" alt=\"\u041e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b FileView-\u0441\u0431\u043e\u0440\u043a\u0438\" title=\"\u041e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b FileView-\u0441\u0431\u043e\u0440\u043a\u0438\" width=\"1027\" height=\"430\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/9bb\/f88\/320\/9bbf883202f10242b104b9df88818a9a.png\"\/><\/p>\n<div><figcaption><em>\u041e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b FileView-\u0441\u0431\u043e\u0440\u043a\u0438<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u041f\u0440\u0438\u043c\u0435\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u0447\u0442\u043e \u0432\u044b\u0445\u043e\u0434\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0441\u0431\u043e\u0440\u043a\u0438 \u0444\u043e\u0440\u043c\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u0432 \u0431\u0438\u043d\u0430\u0440\u043d\u043e\u043c \u0432\u0438\u0434\u0435. \u0412 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043d\u0430\u0433\u043b\u044f\u0434\u043d\u043e\u0433\u043e \u043f\u0440\u0438\u043c\u0435\u0440\u0430 \u044d\u0442\u043e\u0439 \u043b\u043e\u0433\u0438\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0438 \u0442\u043e, \u043a\u0430\u043a \u0431\u0443\u0434\u0435\u0442 \u0432\u044b\u0433\u043b\u044f\u0434\u0435\u0442\u044c \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u0430\u044f \u043e \u043d\u0435\u043c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u0434\u043e XOR-\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/90d\/50c\/5dc\/90d50c5dc1af842da18f405a4fe57abd.png\" width=\"668\" height=\"740\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/90d\/50c\/5dc\/90d50c5dc1af842da18f405a4fe57abd.png\"\/><\/figure>\n<p>\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0432 <em>attribs<\/em> \u0441\u043a\u043b\u0430\u0434\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0438\u0437 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0445 <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows\/win32\/fileio\/file-attribute-constants\">\u043a\u043e\u043d\u0441\u0442\u0430\u043d\u0442 \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u043e\u0432 \u0444\u0430\u0439\u043b\u0430 \u0438\u043b\u0438 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430<\/a> \u043f\u043e \u0438\u043c\u0435\u043d\u0430\u043c, \u043d\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0437\u043c\u0435\u043d\u0438\u043b\u0438 \u0438\u0445 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f. \u041f\u043e-\u0432\u0438\u0434\u0438\u043c\u043e\u043c\u0443, \u044d\u0442\u043e \u0431\u044b\u043b\u043e \u0441\u0434\u0435\u043b\u0430\u043d\u043e \u0434\u043b\u044f \u0442\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u044b \u0443\u043c\u0435\u0449\u0430\u043b\u0438\u0441\u044c \u0432 \u043e\u0434\u0438\u043d \u0431\u0430\u0439\u0442.                                                                                                             <\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"center\"><strong>\u041a\u043e\u043d\u0441\u0442\u0430\u043d\u0442\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435   \u0432 \u0441\u0431\u043e\u0440\u043a\u0435<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435   Windows<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">FILE_ATTRIBUTE_REPARSE_POINT<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x01<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x400<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">FILE_ATTRIBUTE_SYSTEM<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x02<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x004<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">FILE_ATTRIBUTE_HIDDEN<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x04<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x002<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">FILE_ATTRIBUTE_READONLY<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x08<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x001<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">FILE_ATTRIBUTE_ARCHIVE<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x10<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x020<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">FILE_ATTRIBUTE_DIRECTORY<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x20<\/p>\n<\/td>\n<td>\n<p align=\"left\">0x010                     <\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041d\u0430\u043b\u0438\u0447\u0438\u0435 \u0442\u0430\u043a\u043e\u0439 \u0431\u0438\u043d\u0430\u0440\u043d\u043e\u0439 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u0434\u043b\u044f \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u0432 \u0435\u0449\u0435 \u0440\u0430\u0437 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438, \u043e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, \u043e\u0431\u043b\u0430\u0434\u0430\u044e\u0442 \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u043e\u043c, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u043f\u0440\u0435\u043e\u0431\u0440\u0430\u0437\u0443\u0435\u0442 \u044d\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0435 \u0432 \u0447\u0435\u043b\u043e\u0432\u0435\u043a\u043e\u0447\u0438\u0442\u0430\u0435\u043c\u044b\u0439 \u0432\u0438\u0434.<\/p>\n<p>\u0412\u0430\u0436\u043d\u043e \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0432 \u043e\u0442\u043b\u0438\u0447\u0438\u0435 \u043e\u0442 \u0442\u043e\u0433\u043e \u0436\u0435 js_eval, \u0432 \u0440\u0430\u043c\u043a\u0430\u0445 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0439 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u044b \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430 \u043c\u044b \u043c\u043e\u0433\u043b\u0438 \u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0442\u044c \u0442\u043e\u043b\u044c\u043a\u043e \u0442\u0435 \u0441\u0431\u043e\u0440\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0431\u044b\u043b\u0438 \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u044b \u0432 \u0430\u0442\u0430\u043a\u0435. \u0423\u0447\u0438\u0442\u044b\u0432\u0430\u044f \u043e\u043f\u044b\u0442 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f js_eval, \u0433\u0434\u0435 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043c\u043e\u0434\u0443\u043b\u0435\u0439 \u0440\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u043b\u0441\u044f \u043d\u0430 \u0441\u0442\u043e\u0440\u043e\u043d\u0435 \u0436\u0435\u0440\u0442\u0432\u044b, \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u044c, \u0447\u0442\u043e \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u044e\u0442 \u0434\u0440\u0443\u0433\u0438\u0435 \u0441\u0431\u043e\u0440\u043a\u0438, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0435 \u0432 \u0440\u0430\u043c\u043a\u0430\u0445 \u043d\u043e\u0432\u043e\u0433\u043e \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430, \u0442\u0430\u043a\u0438\u0435 \u043a\u0430\u043a FileUpload (\u043f\u043e \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0438 \u0441 FileDown), \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 shellcode \u0438 \u0442\u0434. \u042d\u0442\u043e \u0434\u0435\u043b\u0430\u0435\u0442 VIEWSTATE Exploitation Framework \u0441\u0435\u0440\u044c\u0435\u0437\u043d\u044b\u043c \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u043c \u0441 \u0448\u0438\u0440\u043e\u043a\u0438\u043c \u043c\u043e\u0434\u0443\u043b\u044c\u043d\u044b\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u043e\u043c, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043c\u043e\u0436\u043d\u043e \u043b\u0435\u0433\u043a\u043e \u0440\u0430\u0441\u0448\u0438\u0440\u044f\u0442\u044c.<\/p>\n<h2>\u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE<\/h2>\n<p>\u0412 \u044d\u0442\u043e\u043c \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u043c\u044b \u0434\u0435\u043b\u0438\u043c\u0441\u044f \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u043c\u0438 \u0441\u043e\u0432\u0435\u0442\u0430\u043c\u0438 \u043f\u043e \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u0430\u0442\u0430\u043a \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE. \u0412 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u0433\u043e \u0441\u043b\u0443\u0447\u0430\u044f, \u0434\u043b\u044f \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u044b \u0440\u0430\u0437\u043d\u044b\u0435 \u0442\u0435\u0445\u043d\u0438\u043a\u0438, \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0435 \u043d\u0438\u0436\u0435.<\/p>\n<h3>\u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 Memory-only \u0441\u0431\u043e\u0440\u043e\u043a \u0432 \u043f\u0430\u043c\u044f\u0442\u0438<\/h3>\n<p>\u041f\u0440\u043e \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u043e\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0445 \u0432\u044b\u0448\u0435 .NET-\u0441\u0431\u043e\u0440\u043e\u043a \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 \u0431\u044b\u043b\u0430 \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u0430 \u043d\u0435 \u043e\u0434\u043d\u0430 \u0441\u0442\u0430\u0442\u044c\u044f. \u0420\u0435\u0433\u0438\u043e\u043d \u043f\u0430\u043c\u044f\u0442\u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 w3wp, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0431\u044b\u043b\u0430 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u0430 Memory-only \u0441\u0431\u043e\u0440\u043a\u0430 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043c\u0435\u0442\u043e\u0434\u0430 <em>Assembly.Load(byte[])<\/em>, \u0438\u043c\u0435\u0435\u0442 \u043e\u0442\u043b\u0438\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 <a href=\"https:\/\/www.elastic.co\/security-labs\/hunting-memory-net-attacks\">\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b<\/a> \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0435\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u0437\u0430\u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0442\u044c:<\/p>\n<ul>\n<li>\n<p>\u0422\u0438\u043f <em>MEM_MAPPED<\/em>, \u0445\u043e\u0442\u044f \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u043e\u0431\u044a\u0435\u043a\u0442 \u043e\u0442\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u043d\u043e\u0433\u043e \u0432 \u043f\u0430\u043c\u044f\u0442\u044c \u0444\u0430\u0439\u043b\u0430 (\u043f\u0443\u0441\u0442\u043e\u0439 \u0441\u0442\u043e\u043b\u0431\u0435\u0446 Use);<\/p>\n<\/li>\n<li>\n<p>\u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u0437\u0430\u0449\u0438\u0442\u044b \u043e\u0431\u043b\u0430\u0441\u0442\u0438 \u043f\u0430\u043c\u044f\u0442\u0438 <em>PAGE_READWRITE<\/em>, \u043d\u043e \u0431\u0435\u0437 <em>EXECUTE<\/em>.<\/p>\n<\/li>\n<\/ul>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/bf6\/331\/f54\/bf6331f54637f5098b07318ce4329122.png\" alt=\"\u041e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u043f\u043e\u0438\u0441\u043a\u0430 .NET \u0441\u0431\u043e\u0440\u043e\u043a \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 w3wp\" title=\"\u041e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u043f\u043e\u0438\u0441\u043a\u0430 .NET \u0441\u0431\u043e\u0440\u043e\u043a \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 w3wp\" width=\"974\" height=\"563\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/bf6\/331\/f54\/bf6331f54637f5098b07318ce4329122.png\"\/><\/p>\n<div><figcaption><em>\u041e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u043f\u043e\u0438\u0441\u043a\u0430 .NET \u0441\u0431\u043e\u0440\u043e\u043a \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 w3wp<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u0412 \u0443\u043f\u043e\u043c\u044f\u043d\u0443\u0442\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043e\u0442 Elastic Security Labs \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f <a href=\"https:\/\/gist.githubusercontent.com\/dezhub\/2875fa6dc78083cedeab10abc551cb58\/raw\/24838aa3e33abda0719614d7675447a00a9d57af\/Get-ClrReflection.ps1\">powershell-\u0441\u043a\u0440\u0438\u043f\u0442<\/a> \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0438 \u0434\u0430\u043c\u043f\u0430 \u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043e\u043a.<\/p>\n<h3>\u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u043f\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u044e Application Event ID 1316<\/h3>\n<p>\u0414\u0440\u0443\u0433\u043e\u0439 \u0441\u043f\u043e\u0441\u043e\u0431 \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043e\u0441\u043d\u043e\u0432\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043d\u0430 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u0436\u0443\u0440\u043d\u0430\u043b\u0430 Windows Application, \u0430 \u0438\u043c\u0435\u043d\u043d\u043e, \u043d\u0430 \u0434\u0432\u0443\u0445 \u0440\u0430\u0437\u043d\u044b\u0445 \u0442\u0438\u043f\u0430\u0445 \u043e\u0434\u043d\u043e\u0433\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u044f ID 1316:<\/p>\n<ul>\n<li>\n<p>Viewstate was invalid (Event detail code 50204).<\/p>\n<\/li>\n<li>\n<p>The viewstate supplied failed integrity check (Event detail code 50203).<\/p>\n<\/li>\n<\/ul>\n<p>\u0414\u0430\u043d\u043d\u044b\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u044e\u0442, \u0435\u0441\u043b\u0438 \u043f\u0440\u043e\u0438\u0437\u043e\u0448\u043b\u043e \u043a\u0430\u043a\u043e\u0435-\u043b\u0438\u0431\u043e \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043f\u0440\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE.<\/p>\n<p>\u0414\u043b\u044f \u043f\u043e\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u0432\u043e\u0437\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u044f \u044d\u0442\u0438\u0445 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0439, \u043d\u0443\u0436\u043d\u043e \u043f\u0440\u043e\u0441\u043b\u0435\u0434\u0438\u0442\u044c \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0432 \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u043c \u043a\u043e\u0434\u0435, \u0432\u0435\u0434\u0443\u0449\u0435\u0439 \u043a \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE. \u041e\u043d\u0430 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0432 \u043c\u0435\u0442\u043e\u0434\u0435 <a href=\"https:\/\/referencesource.microsoft.com\/#System.Web\/UI\/HiddenFieldPageStatePersister.cs,20\">HiddenFieldPageStatePersister::Load<\/a>, \u0434\u0430\u043b\u0435\u0435 \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f Util::DeserializeWithAssert, \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0438\u0442 \u0432 \u043c\u0435\u0442\u043e\u0434 <a href=\"https:\/\/referencesource.microsoft.com\/#System.Web\/UI\/ObjectStateFormatter.cs,365\">ObjectStateFormatter::Deserialize<\/a>, \u0433\u0434\u0435 \u043a\u0430\u043a \u0440\u0430\u0437 \u0438 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 MAC-\u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u044f (The viewstate supplied failed integrity check), \u0430 \u043f\u043e\u0441\u043b\u0435 \u2013 \u00a0\u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f VIEWSTATE. \u042d\u0442\u0430 \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c \u043b\u0443\u0447\u0448\u0435 \u0432\u0441\u0435\u0433\u043e \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0430 \u043d\u0430 \u0441\u0442\u0435\u043a\u0435 \u0432\u044b\u0437\u043e\u0432\u043e\u0432: <\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/283\/e07\/3cf\/283e073cfa420e062264540ab2713a9d.png\" alt=\"\u0421\u0442\u0435\u043a \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE\" title=\"\u0421\u0442\u0435\u043a \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE\" width=\"956\" height=\"816\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/283\/e07\/3cf\/283e073cfa420e062264540ab2713a9d.png\"\/><\/p>\n<div><figcaption><em>\u0421\u0442\u0435\u043a \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u041f\u0440\u0438\u043c\u0435\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u0447\u0442\u043e \u0432 \u043c\u0435\u0442\u043e\u0434\u0435 <a href=\"https:\/\/referencesource.microsoft.com\/#System.Web\/UI\/Page.cs,2088\">LoadPageStateFromPersistenceMedium<\/a> \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0432\u044b\u0437\u043e\u0432 \u043c\u0435\u0442\u043e\u0434\u0430 <a href=\"https:\/\/referencesource.microsoft.com\/#System.Web\/UI\/Page.cs,2122\">ShouldSuppressMacValidationException<\/a>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0441\u043a\u0440\u044b\u0432\u0430\u0435\u0442 (\u043d\u0435 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0432 \u0436\u0443\u0440\u043d\u0430\u043b \u0441\u043e\u0431\u044b\u0442\u0438\u0439 Windows) \u0441\u043e\u0431\u044b\u0442\u0438\u0435 ID 1316 The viewstate supplied failed integrity check (Event detail code 50203). \u041f\u0440\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u0445 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u043e\u043d\u043e \u043c\u043e\u0436\u0435\u0442 \u043f\u043e\u044f\u0432\u0438\u0442\u044c\u0441\u044f \u0432 \u0436\u0443\u0440\u043d\u0430\u043b\u0435 <strong>\u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u0442\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435,<\/strong> <strong>\u0435\u0441\u043b\u0438 \u0432 POST-\u0437\u0430\u043f\u0440\u043e\u0441\u0435 \u0438\u043c\u0435\u0435\u0442\u0441\u044f \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u044b\u0439 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 __VIEWSTATEGENERATOR<\/strong>. \u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u044d\u0442\u043e \u0431\u044b\u043b\u043e \u0441\u0434\u0435\u043b\u0430\u043d\u043e \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430\u043c\u0438 Microsoft \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0434\u043b\u044f \u0442\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u043b \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u0432\u043e\u0437\u043d\u0438\u043a\u0448\u0435\u0439 \u043e\u0448\u0438\u0431\u043a\u0435 \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 VIEWSTATE.<\/p>\n<p>\u0422\u0435\u043f\u0435\u0440\u044c, \u043a\u043e\u0433\u0434\u0430 \u043c\u044b \u0437\u043d\u0430\u0435\u043c, \u0433\u0434\u0435 \u0432\u044b\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u044d\u0442\u0438 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f, \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435 \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u0435 \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u0440\u0430\u0437\u0434\u0435\u043b\u0430 \u0434\u0432\u0430 \u0442\u0438\u043f\u0430 \u0441\u043e\u0431\u044b\u0442\u0438\u044f ID 1316.<\/p>\n<p>\u0421\u043e\u0431\u044b\u0442\u0438\u0435 <strong>The viewstate supplied failed integrity check<\/strong> (Event detail code 50203) \u0441\u0432\u044f\u0437\u0430\u043d\u043e \u0441 \u043e\u0448\u0438\u0431\u043a\u043e\u0439 \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 MAC, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f <strong>\u0434\u043e<\/strong> \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0435\u0441\u043b\u0438 \u043c\u044b \u0432\u0438\u0434\u0438\u043c \u0432 \u0436\u0443\u0440\u043d\u0430\u043b\u0435 \u044d\u0442\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u0435, \u0442\u043e:<\/p>\n<ul>\n<li>\n<p>VIEWSTATE <strong>\u043d\u0435 \u0431\u044b\u043b \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d<\/strong>, \u0442\u043e \u0435\u0441\u0442\u044c \u043f\u043e\u043a\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 \u201c\u0432 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438\u201d;<\/p>\n<\/li>\n<li>\n<p>\u043c\u044b \u0432\u0438\u0434\u0438\u043c \u044d\u0442\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u0435 \u0432 \u0436\u0443\u0440\u043d\u0430\u043b\u0435, \u0442\u0430\u043a \u043a\u0430\u043a \u0432 POST-\u0437\u0430\u043f\u0440\u043e\u0441\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u044b\u0439 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 __VIEWSTATEGENERATOR.<\/p>\n<\/li>\n<\/ul>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/52c\/74e\/009\/52c74e009fcadbad987c59fb2b533bc3.png\" alt=\"\u0421\u043e\u0431\u044b\u0442\u0438\u0435 ID 1316 The viewstate supplied failed integrity check (Event detail code 50203)\" title=\"\u0421\u043e\u0431\u044b\u0442\u0438\u0435 ID 1316 The viewstate supplied failed integrity check (Event detail code 50203)\" width=\"813\" height=\"257\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/52c\/74e\/009\/52c74e009fcadbad987c59fb2b533bc3.png\"\/><\/p>\n<div><figcaption><em>\u0421\u043e\u0431\u044b\u0442\u0438\u0435 ID 1316 The viewstate supplied failed integrity check (Event detail code 50203)<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u0421\u043e\u0431\u044b\u0442\u0438\u0435 <strong>Viewstate was invalid <\/strong>(Event detail code 50204) \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 <strong>\u0432\u043e \u0432\u0440\u0435\u043c\u044f \u0438\u043b\u0438 \u043f\u043e\u0441\u043b\u0435<\/strong> \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438. \u042d\u0442\u043e \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u0443 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u0435\u043b\u044f VIEWSTATE \u0438\u043c\u0435\u044e\u0442\u0441\u044f \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u044b\u0435 \u043a\u043b\u044e\u0447\u0438 \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 \u0438 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0443\u0434\u0435\u043b\u0438\u0442\u044c \u043e\u0441\u043e\u0431\u043e\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u043c\u0443 VIEWSTATE (\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 <em>PersistedState<\/em> \u0438\u0437 \u0441\u043e\u0431\u044b\u0442\u0438\u044f).<\/p>\n<p>\u0420\u0430\u043d\u0435\u0435 \u043c\u044b \u0443\u0436\u0435 \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u043b\u0438 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e VIEWSTATE. \u0415\u0433\u043e \u043f\u0435\u0440\u0432\u044b\u0435 \u0434\u0432\u0430 \u0431\u0430\u0439\u0442\u0430 (Marker_Format \u0438 Marker_Version_1) \u0432\u043e\u00a0\u0432\u0441\u0435\u0445 \u0441\u043b\u0443\u0447\u0430\u044f\u0445 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u0435, \u0442\u0430\u043a \u043a\u0430\u043a\u00a0\u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0442 \u0441\u043e\u0431\u043e\u0439 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a VIEWSTATE. \u0412\u00a0\u0442\u0440\u0435\u0442\u044c\u0435\u043c \u0431\u0430\u0439\u0442\u0435 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0442\u0438\u043f \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445. \u041c\u044b \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0433\u0430\u0434\u0436\u0435\u0442\u044b \u0443\u0442\u0438\u043b\u0438\u0442\u044b <a href=\"https:\/\/github.com\/pwntester\/ysoserial.net\/tree\/master\">ysoserial.net<\/a>, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0442 \u0432\u00a0\u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043d\u0430\u0433\u0440\u0443\u0437\u043e\u043a \u0434\u043b\u044f\u00a0VIEWSTATE, \u0438 \u0437\u0430\u043c\u0435\u0442\u0438\u043b\u0438, \u0447\u0442\u043e\u00a0\u0432\u0441\u0435 \u043e\u043d\u0438 \u00ab\u043f\u043e\u0434 \u043a\u0430\u043f\u043e\u0442\u043e\u043c\u00bb \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0442 \u0441\u043e\u0431\u043e\u0439 \u0434\u0430\u043d\u043d\u044b\u0435, \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0435 <em>BinaryFormatter<\/em>, \u0442\u043e \u0435\u0441\u0442\u044c \u0438\u043c\u0435\u044e\u0442 \u0442\u0438\u043f <a href=\"https:\/\/referencesource.microsoft.com\/#System.Web\/UI\/ObjectStateFormatter.cs,90\">Token_BinarySerialized<\/a> (0\u00d732). \u042d\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0435 \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0434\u043b\u044f\u00a0\u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u0443\u044e\u0449\u0435\u0433\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430. \u0412\u00a0\u0438\u0442\u043e\u0433\u0435 \u043f\u0435\u0440\u0432\u044b\u0435 \u0442\u0440\u0438 \u0431\u0430\u0439\u0442\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e VIEWSTATE \u0432\u00a0hex \u0432\u044b\u0433\u043b\u044f\u0434\u044f\u0442 \u0442\u0430\u043a:<\/p>\n<p><em>FF 01 32<\/em> \u0438\u043b\u0438 \u201c<em>\/wEy<\/em>\u201d \u0432 base64.<\/p>\n<p>\u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, \u0435\u0441\u043b\u0438 \u0432\u00a0\u0441\u043e\u0431\u044b\u0442\u0438\u0438 ID 1316\u00a0Viewstate was invalid (Event detail code 50\u00a0204) \u0432\u00a0\u043f\u0435\u0440\u0432\u044b\u0445 \u0447\u0435\u0442\u044b\u0440\u0435\u0445 \u0441\u0438\u043c\u0432\u043e\u043b\u0430\u0445 \u043f\u043e\u043b\u044f <em>PersistedState<\/em> \u043c\u044b \u0432\u0438\u0434\u0438\u043c <em>\/wEy<\/em>, \u0442\u043e \u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u0441\u0442\u043e\u0438\u0442 \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u044c \u043d\u0430\u00a0\u044d\u0442\u043e \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435. \u0415\u0441\u043b\u0438 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0434\u0438\u0442\u0441\u044f, \u0447\u0442\u043e\u00a0\u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u0435\u043b\u044c (\u043f\u043e\u043b\u044f <em>User host address<\/em> \u0438\u043b\u0438 <em>Client IP<\/em>) \u043d\u0435\u00a0\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u043c, \u0442\u043e \u0441\u0442\u043e\u0438\u0442 \u00ab\u0431\u0438\u0442\u044c \u0442\u0440\u0435\u0432\u043e\u0433\u0443\u00bb, \u0442\u0430\u043a \u043a\u0430\u043a\u00a0\u0443\u00a0\u043d\u0435\u0433\u043e \u0435\u0441\u0442\u044c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c RCE \u043d\u0430\u00a0\u0434\u0430\u043d\u043d\u043e\u043c IIS\u2011\u0441\u0435\u0440\u0432\u0435\u0440\u0435.<\/p>\n<p>\u0422\u0430\u043a\u0436\u0435 \u043e\u0442\u043c\u0435\u0442\u0438\u043c \u0434\u0440\u0443\u0433\u0438\u0435 \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0435 \u043f\u043e\u043b\u044f \u0441\u043e\u0431\u044b\u0442\u0438\u0439 ID 1316:<\/p>\n<p><em>Process ID<\/em>\u00a0\u2014 \u043c\u043e\u0436\u043d\u043e \u0441\u0440\u0430\u0437\u0443 \u0437\u043d\u0430\u0442\u044c, \u0438\u0437\u00a0\u043a\u0430\u043a\u043e\u0433\u043e PID \u0434\u0430\u043c\u043f\u0438\u0442\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 \u0441\u0431\u043e\u0440\u043a\u0438;<\/p>\n<p><em>User\u2011Agent<\/em>\u00a0\u2014 \u0435\u0441\u043b\u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u043c, \u0442\u043e \u043c\u043e\u0436\u043d\u043e \u043e\u0442\u0441\u043b\u0435\u0434\u0438\u0442\u044c \u0434\u0440\u0443\u0433\u0438\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u044b. \u041e\u0431\u044b\u0447\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432\u00a0\u043f\u0430\u0440\u0435 \u0441\u00a0\u043f\u043e\u043b\u044f\u043c\u0438 <em>Client IP<\/em> \u0438 <em>User host address<\/em>;<\/p>\n<p><em>Account name<\/em>\u00a0\u2014 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0446\u0435\u043d\u0438\u0442\u044c \u043f\u0440\u0430\u0432\u0430, \u0441\u00a0\u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442\u044c RCE \u0432\u00a0\u0441\u043b\u0443\u0447\u0430\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e VIEWSTATE;<\/p>\n<p><em>Machine name<\/em>\u00a0\u2014 \u0438\u043c\u044f \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0445\u043e\u0441\u0442\u0430.<\/p>\n<h3>\u041e\u0441\u043e\u0431\u044b\u0435 \u0441\u043b\u0443\u0447\u0430\u0438<\/h3>\n<p><strong>\u041f\u0435\u0440\u0432\u0430\u044f \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044c<\/strong>, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0443\u0441\u043b\u043e\u0436\u043d\u044f\u0435\u0442 \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0430\u0442\u0430\u043a\u0438, \u2013 \u044d\u0442\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e VIEWSTATE, \u0447\u0442\u043e \u0438\u0441\u043a\u043b\u044e\u0447\u0430\u0435\u0442 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043e\u043f\u0435\u0440\u0430\u0442\u0438\u0432\u043d\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0435\u0433\u043e \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/019\/f0f\/119\/019f0f119e8aadf527b364d8259a3adc.png\" alt=\"\u041f\u0440\u0438\u043c\u0435\u0440 \u0441\u043e\u0431\u044b\u0442\u0438\u044f Application Event ID 1316 \u0441 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c VIEWSTATE\" title=\"\u041f\u0440\u0438\u043c\u0435\u0440 \u0441\u043e\u0431\u044b\u0442\u0438\u044f Application Event ID 1316 \u0441 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c VIEWSTATE\" width=\"859\" height=\"789\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/019\/f0f\/119\/019f0f119e8aadf527b364d8259a3adc.png\"\/><\/p>\n<div><figcaption><em>\u041f\u0440\u0438\u043c\u0435\u0440 \u0441\u043e\u0431\u044b\u0442\u0438\u044f Application Event ID 1316 \u0441 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c VIEWSTATE<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u0412 \u0432\u0435\u0440\u0441\u0438\u044f\u0445 .NET 4.5+ \u043e\u043d \u0448\u0438\u0444\u0440\u0443\u0435\u0442\u0441\u044f \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e, \u0434\u0430\u0436\u0435 \u0435\u0441\u043b\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 <a href=\"https:\/\/referencesource.microsoft.com\/#System.Web\/UI\/ViewStateEncryptionMode.cs,15\">viewStateEncryptionMode<\/a> \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d \u0432 <em>Never<\/em>.<\/p>\n<p>\u0412 legacy \u0432\u0435\u0440\u0441\u0438\u0438 &lt;4.5 VIEWSTATE \u043d\u0435 \u0448\u0438\u0444\u0440\u0443\u0435\u0442\u0441\u044f \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e, \u0434\u0430\u0436\u0435 \u043f\u0440\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 <a href=\"https:\/\/referencesource.microsoft.com\/#System.Web\/UI\/ViewStateEncryptionMode.cs,15\">viewStateEncryptionMode<\/a> \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u043e\u043c \u0432 <em>Always<\/em>. \u0417\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d VIEWSTATE \u0438\u043b\u0438 \u043d\u0435\u0442, \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u043e \u043d\u0430\u043b\u0438\u0447\u0438\u044e \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 <em>__VIEWSTATEENCRYPTED<\/em> \u0432 \u0437\u0430\u043f\u0440\u043e\u0441\u0435.<\/p>\n<p>\u041e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 legacy \u0432\u0435\u0440\u0441\u0438\u0438 .NET (&lt;4.5) \u0438\u043b\u0438 \u043d\u043e\u0432\u043e\u0439 (>=4.5) \u0437\u0430\u0432\u0438\u0441\u0438\u0442 \u043e\u0442 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 <a href=\"https:\/\/referencesource.microsoft.com\/#System.Web\/Configuration\/MachineKeyCompatibilityMode.cs,10\">MachineKeyCompatibilityMode<\/a> \u0438, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043d\u0435 \u0437\u0430\u0434\u0430\u0435\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 IIS Manager:<\/p>\n<p><em>&lt;machineKey validationKey=&#187;&lt;REDACTED>&#187; decryptionKey=&#187;&lt;REDACTED>&#187; validation=&#187;SHA1&#8243; decryption=&#187;AES&#187; <\/em><strong><em>compatibilityMode=&#187;Framework45&#8243;<\/em><\/strong><em> \/><\/em><\/p>\n<p>\u00a0\u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u0438\u043c\u0435\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f:<\/p>\n<pre><code>public enum MachineKeyCompatibilityMode {  \u00a0\u00a0\u00a0\u00a0 \/\/ 2.0 SP1 mode encryption doesn't use IVs when encrypting data and is included only for legacy reasons.  \u00a0\u00a0\u00a0\u00a0 Framework20SP1 = 0,  \u00a0\u00a0\u00a0\u00a0 \/\/ 2.0 SP2 mode encryption uses IVs when encrypting data.  \u00a0\u00a0\u00a0\u00a0 \/\/ See: DevDiv Bugs #137864 (http:\/\/bugcheck\/bugs\/DevDivBugs\/137864)  \u00a0\u00a0\u00a0\u00a0 Framework20SP2 = 1,  \u00a0\u00a0\u00a0\u00a0 \/\/ 4.5 mode encryption uses IVs, signing, and a purpose (subkey derivation) to encrypt data.  \u00a0\u00a0\u00a0\u00a0 \/\/ See: DevDiv #48244 (http:\/\/vstfdevdiv:8080\/DevDiv2\/web\/wi.aspx?id=48244), which the overall Crypto DCR is a reaction to  \u00a0\u00a0\u00a0\u00a0 \/\/ See: DevDiv #87406 (http:\/\/vstfdevdiv:8080\/DevDiv2\/web\/wi.aspx?id=87406)  \u00a0\u00a0\u00a0\u00a0 Framework45 = 2,  }<\/code><\/pre>\n<p>\u041f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 <em>Framework20SP1<\/em>, \u0435\u0441\u043b\u0438 \u0432 \u0444\u0430\u0439\u043b\u0435 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u0432 \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u0435 <em>httpRuntime<\/em> \u0432 \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0435 <em>targetFramework<\/em> \u043d\u0435 \u0443\u043a\u0430\u0437\u0430\u043d\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 &#171;4.5&#187;:<\/p>\n<p>&lt;httpRuntime <strong>targetFramework=&#187;4.5&#8243;<\/strong> \/><\/p>\n<p>\u0412 \u044d\u0442\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 <em>MachineKeyCompatibilityMode<\/em> \u0431\u0443\u0434\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f <em>Framework45<\/em> \u0438 VIEWSTATE \u0431\u0443\u0434\u0443\u0442 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u0442\u044c\u0441\u044f \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e.<\/p>\n<p>IIS, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432 Microsoft Exchange \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0432\u0435\u0431-\u0434\u0432\u0438\u0436\u043a\u0430, \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 legacy \u0432\u0435\u0440\u0441\u0438\u044e .NET-\u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430.<\/p>\n<p><strong>\u0412\u0442\u043e\u0440\u0430\u044f \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044c<\/strong>: \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u044b \u0441\u043b\u0443\u0447\u0430\u0438, \u043a\u043e\u0433\u0434\u0430 \u043f\u043e\u0441\u043b\u0435 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e VIEWSTATE \u0441\u043e\u0431\u044b\u0442\u0438\u0435 Event ID 1316 \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u0437\u0430\u043f\u0438\u0441\u0430\u043d\u043e \u0432 \u0436\u0443\u0440\u043d\u0430\u043b. \u0422\u0430\u043a\u043e\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442\u0441\u044f \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u043c \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u044b\u043c \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 VIEWSTATE. \u0412 \u044d\u0442\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0434\u043b\u044f \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 Event Tracing for Windows (ETW). \u0412 \u044d\u0442\u043e\u043c \u043c\u043e\u0436\u0435\u0442 \u043f\u043e\u043c\u043e\u0447\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u0438\u0437 \u0434\u0432\u0443\u0445 \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u0441\u0431\u043e\u0440\u043a\u0438: <em>AssemblyLoad_V1<\/em> (\u043d\u0430\u0441\u0442\u0443\u043f\u0430\u0435\u0442, \u043a\u043e\u0433\u0434\u0430 \u0441\u0431\u043e\u0440\u043a\u0430 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442\u0441\u044f) \u0438 <em>ModuleLoad_V2<\/em> (\u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u0440\u0438 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0435 \u043c\u043e\u0434\u0443\u043b\u044f), \u043f\u0440\u0438\u043c\u0435\u0440\u044b \u0442\u0430\u043a\u0438\u0445 \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u043f\u0440\u0438 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u0441\u0431\u043e\u0440\u043a\u0438 \u043d\u0430\u0445\u043e\u0434\u044f\u0442\u0441\u044f \u0432 \u041f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0438 II.<\/p>\n<p>\u0414\u043b\u044f \u0434\u0435\u0442\u0435\u043a\u0442\u0430 \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0443\u044e \u043b\u043e\u0433\u0438\u043a\u0443: \u0443 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u0441\u0431\u043e\u0440\u043a\u0438 \u0432 \u0441\u043e\u0431\u044b\u0442\u0438\u0438 <em>AssemblyLoad_V1<\/em> \u0432 \u043f\u043e\u043b\u0435 <em>FullyQualifiedAssemblyName<\/em> \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 <em>PublicKeyToken<\/em> \u043e\u0431\u044b\u0447\u043d\u043e \u0440\u0430\u0432\u043d\u043e <em>null<\/em>, \u0442\u0430\u043a \u043a\u0430\u043a \u0447\u0430\u0449\u0435 \u0432\u0441\u0435\u0433\u043e \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 \u0441\u0431\u043e\u0440\u043a\u0438 \u043d\u0435 \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u044b, \u0430 \u0432 \u0441\u043e\u0431\u044b\u0442\u0438\u0438 <em>ModuleLoad_V2<\/em> \u0432 \u043f\u043e\u043b\u0435 <em>ModuleILPath<\/em> \u0431\u0443\u0434\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0438\u043c\u044f \u0441\u0431\u043e\u0440\u043a\u0438, \u0430 \u043d\u0435 \u043f\u043e\u043b\u043d\u044b\u0439 \u043f\u0443\u0442\u044c \u0434\u043e \u0444\u0430\u0439\u043b\u0430.<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>\u0421\u0431\u043e\u0440\u043a\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>AssemblyLoad_V1<br \/>   FullyQualifiedAssemblyName<br \/>   PublicKey<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>ModuleLoad_V2<\/strong><\/p>\n<p align=\"left\"><strong>ModuleILPath<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u041b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u0430\u044f<\/p>\n<\/td>\n<td>\n<p align=\"left\">PublicKeyToken=31bf3856ad364e35<\/p>\n<\/td>\n<td>\n<p align=\"left\">C:\\\\Windows\\\\Microsoft.Net\\\\assembly\\\\GAC_MSIL\\\\System.Runtime.InteropServices.RuntimeInformation\\\\v4.0_4.0.0.0__b03f5f7f11d50a3a\\\\System.Runtime.InteropServices.RuntimeInformation.dll<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0430\u044f<\/p>\n<\/td>\n<td>\n<p align=\"left\">null<\/p>\n<\/td>\n<td>\n<p align=\"left\">Microsoft.Exchange.Management.Powershell.Support<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0421\u0442\u043e\u0438\u0442 \u0443\u0434\u0435\u043b\u044f\u0442\u044c \u043e\u0441\u043e\u0431\u043e\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0443 \u0438\u043c\u0435\u043d\u0438 \u0441\u0431\u043e\u0440\u043a\u0438, \u0442\u0430\u043a \u043a\u0430\u043a \u0443 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432 \u0435\u0441\u0442\u044c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u0435\u0433\u043e \u0432\u0440\u0443\u0447\u043d\u0443\u044e \u0441 \u0446\u0435\u043b\u044c\u044e \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0435\u0433\u043e \u043f\u043e\u0445\u043e\u0436\u0438\u043c \u043d\u0430 \u043f\u0443\u0442\u044c.<\/p>\n<p>\u041c\u044b \u043f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u0438\u043b\u0438 Sigma \u043f\u0440\u0430\u0432\u0438\u043b\u043e, \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u0443\u044e\u0449\u0435\u0435 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 in-memory \u0441\u0431\u043e\u0440\u043e\u043a, \u0435\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 IOCs.<\/p>\n<h2>\u041c\u0438\u0442\u0438\u0433\u0430\u0446\u0438\u044f. Machine Key<\/h2>\n<p>\u041f\u043e\u0441\u043b\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0430\u0442\u0430\u043a\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE, \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0437\u0430\u043c\u0435\u043d\u0438\u0442\u044c Machine Key, \u0442\u0430\u043a \u043a\u0430\u043a \u0441\u0430\u043c \u0444\u0430\u043a\u0442 \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0439 \u0430\u0442\u0430\u043a\u0438 \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442, \u0447\u0442\u043e \u043a\u043b\u044e\u0447\u0438 \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 \u0438 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 \u0431\u044b\u043b\u0438 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u044b.<\/p>\n<h3>\u0417\u0430\u043c\u0435\u043d\u0430 \u0432\u0440\u0443\u0447\u043d\u0443\u044e \u0441\u043e\u0437\u0434\u0430\u043d\u043d\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439<\/h3>\n<p>\u0412 \u0441\u043b\u0443\u0447\u0430\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u043e\u0431\u044b\u0447\u043d\u044b\u0445 (\u043d\u0435 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445) \u043a\u043b\u044e\u0447\u0435\u0439 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u0443 \u0437\u0430\u043c\u0435\u043d\u044b \u043c\u043e\u0436\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043f\u0440\u044f\u043c\u043e \u0432 IIS Manager \u043d\u0430 \u0432\u043a\u043b\u0430\u0434\u043a\u0435 Machine Key:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/4dc\/b09\/7a5\/4dcb097a567ebe9c21bfb22f3f5c1269.png\" alt=\"\u0421\u043c\u0435\u043d\u0430 \u043a\u043b\u044e\u0447\u0435\u0439 \u0432 IIS Manager\" title=\"\u0421\u043c\u0435\u043d\u0430 \u043a\u043b\u044e\u0447\u0435\u0439 \u0432 IIS Manager\" width=\"1051\" height=\"466\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/4dc\/b09\/7a5\/4dcb097a567ebe9c21bfb22f3f5c1269.png\"\/><\/p>\n<div><figcaption><em>\u0421\u043c\u0435\u043d\u0430 \u043a\u043b\u044e\u0447\u0435\u0439 \u0432 IIS Manager<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f:<\/p>\n<ol>\n<li>\n<p>Generate Keys \u2192 Apply \u0434\u043b\u044f\u00a0\u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 (\u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0443\u0435\u0442\u0441\u044f \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u044d\u0442\u043e \u0434\u043b\u044f \u0432\u0441\u0435\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 \u0432\u0435\u0431-\u0441\u0435\u0440\u0432\u0435\u0440\u0430).<\/p>\n<\/li>\n<li>\n<p>\u041e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0441\u043b\u0443\u0436\u0431\u0443 IIS (\u0438\u043b\u0438 \u0432\u0435\u0441\u044c \u0441\u0435\u0440\u0432\u0435\u0440), \u0442\u0430\u043a \u043a\u0430\u043a worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0431\u0443\u0434\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u00ab\u0441\u0442\u0430\u0440\u044b\u0435\u00bb \u043a\u043b\u044e\u0447\u0438 \u0438\u0437 \u043f\u0430\u043c\u044f\u0442\u0438:<\/p>\n<\/li>\n<\/ol>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">net stop w3svc<\/p>\n<p align=\"left\">net start   w3svc<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0421\u043c\u0435\u043d\u0443 \u043a\u043b\u044e\u0447\u0435\u0439 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0434\u0435\u043b\u0430\u0442\u044c \u0432 \u043f\u0435\u0440\u0432\u0443\u044e \u043e\u0447\u0435\u0440\u0435\u0434\u044c \u0434\u043b\u044f \u0442\u0435\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0430\u0442\u0430\u043a\u0443\u044e\u0442 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b \u0438\u0437\u0432\u043d\u0435 \u0431\u0435\u0437 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, owa \u0438 ecp \u0434\u043b\u044f Exchange). \u0412 \u043e\u0431\u0449\u0435\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0443\u0435\u0442\u0441\u044f \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0441\u043c\u0435\u043d\u0443 \u043a\u043b\u044e\u0447\u0435\u0439 \u0434\u043b\u044f \u0432\u0441\u0435\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 \u0432\u0435\u0431-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0434\u043b\u044f \u0431\u043e\u043b\u044c\u0448\u0435\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0447\u0435\u0440\u0435\u0437 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043a\u043b\u044e\u0447\u0435\u0439 \u0434\u043b\u044f \u0432\u0441\u0435\u0433\u043e \u0441\u0430\u0439\u0442\u0430), \u0442\u0430\u043a \u043a\u0430\u043a \u0447\u0430\u0449\u0435 \u0432\u0441\u0435\u0433\u043e \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430\u0442\u0438\u0447\u043d\u043e \u043f\u043e\u043d\u044f\u0442\u044c, \u043a\u0430\u043a\u0438\u043c\u0438 \u043a\u043b\u044e\u0447\u0430\u043c\u0438 \u043e\u0431\u043b\u0430\u0434\u0430\u0435\u0442 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a.<\/p>\n<p>\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u043a\u043b\u044e\u0447\u0435\u0439, \u0437\u0430\u0434\u0430\u043d\u043d\u044b\u0435 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u0430, \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u044e\u0442\u0441\u044f \u043d\u0430 \u0432\u0441\u0435 \u0435\u0433\u043e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u0442\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435, \u0435\u0441\u043b\u0438 \u0443 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043d\u0435 \u0437\u0430\u0434\u0430\u043d\u044b \u0441\u0432\u043e\u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043a\u043b\u044e\u0447\u0435\u0439. \u042d\u0442\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0443\u0447\u0438\u0442\u044b\u0432\u0430\u0442\u044c \u043f\u0440\u0438 \u0441\u043c\u0435\u043d\u0435 \u043a\u043b\u044e\u0447\u0435\u0439.<\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/637\/293\/519\/637293519acfd157b913f5c5f7a8cc0d.png\" width=\"395\" height=\"299\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/637\/293\/519\/637293519acfd157b913f5c5f7a8cc0d.png\"\/><\/figure>\n<h3>\u0417\u0430\u043c\u0435\u043d\u0430 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439<\/h3>\n<p>\u0412 \u0441\u043b\u0443\u0447\u0430\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u0430 \u0438\u0445 \u0437\u0430\u043c\u0435\u043d\u044b \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043d\u0435\u0442\u0440\u0438\u0432\u0438\u0430\u043b\u044c\u043d\u043e \u0445\u043e\u0442\u044f \u0431\u044b \u043f\u043e\u0442\u043e\u043c\u0443, \u0447\u0442\u043e \u0432 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u043e\u043c \u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0441\u0442\u0432\u0435 \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043d\u0435\u0442 \u0438\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u0439 \u043d\u0430 \u044d\u0442\u0443 \u0442\u0435\u043c\u0443. \u0412 \u0442\u043e \u0436\u0435 \u0432\u0440\u0435\u043c\u044f \u0432\u043e \u043c\u043d\u043e\u0433\u0438\u0445 \u0441\u0442\u0430\u0442\u044c\u044f\u0445 \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 IIS \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0443\u044e\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0438\u043c\u0435\u043d\u043d\u043e \u0442\u0430\u043a\u0438\u0435 \u043a\u043b\u044e\u0447\u0438, \u0430 \u0437\u043d\u0430\u0447\u0438\u0442, \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0438\u0445 \u0437\u0430\u043c\u0435\u043d\u044b \u043c\u043e\u0436\u0435\u0442 \u0438\u043c\u0435\u0442\u044c \u043c\u0430\u0441\u0441\u043e\u0432\u044b\u0439 \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440. \u0422\u0430\u043a\u0436\u0435 auto generated-\u043a\u043b\u044e\u0447\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0432\u043e \u0432\u0441\u0435\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f\u0445 Exchange \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438.<\/p>\n<p>\u0412 \u0441\u043b\u0443\u0447\u0430\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439 \u0432\u043a\u043b\u0430\u0434\u043a\u0430 Machine Key \u0432 IIS Manager \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0442\u0430\u043a:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/d2c\/81c\/69c\/d2c81c69cdfd74283d9e7eddc58efdb6.png\" alt=\"Auto generated \u043a\u043b\u044e\u0447\u0438 \u0432 IIS Manager\" title=\"Auto generated \u043a\u043b\u044e\u0447\u0438 \u0432 IIS Manager\" width=\"1064\" height=\"434\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/d2c\/81c\/69c\/d2c81c69cdfd74283d9e7eddc58efdb6.png\"\/><\/p>\n<div><figcaption><em>Auto generated \u043a\u043b\u044e\u0447\u0438 \u0432 IIS Manager<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u041f\u043e\u043b\u044f, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0440\u0430\u043d\u0435\u0435 \u0431\u044b\u043b\u0438 \u0443\u043a\u0430\u0437\u0430\u043d\u044b \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u043a\u043b\u044e\u0447\u0435\u0439, \u043d\u0435 \u0440\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u0438 \u043d\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0442 \u0441\u0430\u043c\u0438\u0445 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0439. \u0427\u0442\u043e\u0431\u044b \u043f\u043e\u043d\u044f\u0442\u044c, \u043a\u0430\u043a \u0438\u0445 \u0437\u0430\u043c\u0435\u043d\u0438\u0442\u044c, \u043d\u0443\u0436\u043d\u043e \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u044c \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u0438\u0445 \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0438 \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f.<\/p>\n<p>\u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0433\u043b\u0443\u0431\u043e\u043a\u043e\u0433\u043e \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u0433\u043e \u043a\u043e\u0434\u0430, \u043c\u044b \u0432\u044b\u044f\u0441\u043d\u0438\u043b\u0438, \u0447\u0442\u043e \u043a\u043b\u044e\u0447\u0438 <strong>\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u0443\u044e\u0442\u0441\u044f<\/strong> \u043f\u0440\u0438 \u043a\u0430\u0436\u0434\u043e\u043c \u043d\u043e\u0432\u043e\u043c \u0437\u0430\u043f\u0443\u0441\u043a\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f (\u043f\u0440\u0438 \u0441\u0442\u0430\u0440\u0442\u0435 \u0434\u043e\u043c\u0435\u043d\u0430) \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 \u043c\u0430\u0441\u0442\u0435\u0440-\u043a\u043b\u044e\u0447\u0430 \u0438\u0437 \u0440\u0435\u0435\u0441\u0442\u0440\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e\u0441\u043b\u0435 \u0441\u0430\u043c\u043e\u0439 \u043f\u0435\u0440\u0432\u043e\u0439 \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 (\u0441\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 IIS\/Exchange \u0438\u043b\u0438 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438) \u043d\u0435 \u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f. \u041f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u044d\u0442\u043e \u0432 \u0434\u0432\u0430 \u044d\u0442\u0430\u043f\u0430:<\/p>\n<ol>\n<li>\n<p>\u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u044f \u043c\u0430\u0441\u0442\u0435\u0440-\u043a\u043b\u044e\u0447\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435;<\/p>\n<\/li>\n<li>\n<p>runtime-\u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u044f Validation \u0438 Decryption \u043a\u043b\u044e\u0447\u0435\u0439.<\/p>\n<\/li>\n<\/ol>\n<p>\u041c\u0430\u0441\u0442\u0435\u0440-\u043a\u043b\u044e\u0447 \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u0438 \u0432 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u0438 \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u043a\u043b\u044e\u0447\u0435\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0443\u0436\u0435 \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0443\u0447\u0430\u0441\u0442\u0432\u0443\u044e\u0442 \u0432 \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 \u0438 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0435. \u0421\u0430\u043c\u0438 \u043e\u043d\u0438 <strong>\u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f<\/strong> \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430. \u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u043d\u0430\u0448\u0435\u0433\u043e \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043c\u0435\u0441\u0442\u043e\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043a\u043b\u044e\u0447\u0435\u0439 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u044b \u0432 \u0442\u0430\u0431\u043b\u0438\u0446\u0435:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>Identity<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>Master   key registry path<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>Encrypted<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">LocalSystem<\/p>\n<\/td>\n<td>\n<p align=\"left\">HKLM\\SECURITY\\Policy\\Secrets\\L$ASP.NETAutoGenKeysV44.0.30319.0\\<\/p>\n<\/td>\n<td>\n<p align=\"left\">Yes<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">ApplicationPoolIdentity<\/p>\n<\/td>\n<td>\n<p align=\"left\">HKU\\S-1-5-82-&lt;Virt_Acc_SID>\\SOFTWARE\\Microsoft\\ASP.NET\\4.0.30319.0:AutoGenKeyV4<\/p>\n<\/td>\n<td>\n<p align=\"left\">No<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">LocalService<\/p>\n<\/td>\n<td>\n<p align=\"left\">HKU\\S-1-5-19\\SOFTWARE\\Microsoft\\ASP.NET\\4.0.30319.0:AutoGenKeyV4<\/p>\n<\/td>\n<td>\n<p align=\"left\">No<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">NetworkService<\/p>\n<\/td>\n<td>\n<p align=\"left\">HKU\\S-1-5-20\\SOFTWARE\\Microsoft\\ASP.NET\\4.0.30319.0:AutoGenKeyV4<\/p>\n<\/td>\n<td>\n<p align=\"left\">No<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Custom Account<\/p>\n<\/td>\n<td>\n<p align=\"left\">HKU\\S-1-5-21-&lt;USER_SID>\\SOFTWARE\\Microsoft\\ASP.NET\\4.0.30319.0:AutoGenKeyV4<\/p>\n<\/td>\n<td>\n<p align=\"left\">No<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">With   Load User Profile False<\/p>\n<p align=\"left\">or   <br \/>   if errors occurred<br \/>   (fallback like mechanism)<\/p>\n<\/td>\n<td>\n<p align=\"left\">HKLM\\SOFTWARE\\Microsoft\\ASP.NET\\4.0.30319.0\\AutoGenKeys\\&lt;USER_SID>:AutoGenKeyV4<\/p>\n<\/td>\n<td>\n<p align=\"left\">No<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>Identity \u2013 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c, \u043e\u0442 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441, \u043e\u043d \u0437\u0430\u0434\u0430\u0435\u0442\u0441\u044f \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 Process Model \u0432 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430\u0445 \u043f\u0443\u043b\u0430 \u043d\u0430 \u0432\u043a\u043b\u0430\u0434\u043a\u0435 Application Pools \u0432 IIS Manager:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/7ad\/5ef\/602\/7ad5ef602b737969a07654f0f9c84fa7.png\" alt=\"\u0417\u0430\u0434\u0430\u043d\u0438\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0432 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430\u0445 \u043f\u0443\u043b\u0430, \u043e\u0442 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0431\u0443\u0434\u0435\u0442 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c\u0441\u044f worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\" title=\"\u0417\u0430\u0434\u0430\u043d\u0438\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0432 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430\u0445 \u043f\u0443\u043b\u0430, \u043e\u0442 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0431\u0443\u0434\u0435\u0442 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c\u0441\u044f worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\" width=\"598\" height=\"374\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/7ad\/5ef\/602\/7ad5ef602b737969a07654f0f9c84fa7.png\"\/><\/p>\n<div><figcaption><em>\u0417\u0430\u0434\u0430\u043d\u0438\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0432 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430\u0445 \u043f\u0443\u043b\u0430, \u043e\u0442 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0431\u0443\u0434\u0435\u0442 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c\u0441\u044f worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u041a\u0430\u043a \u0432\u0438\u0434\u043d\u043e \u0438\u0437 \u0442\u0430\u0431\u043b\u0438\u0446\u044b, \u043f\u0440\u0438 \u0440\u0430\u0431\u043e\u0442\u0435 worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 LocalSystem, \u043c\u0430\u0441\u0442\u0435\u0440-\u043a\u043b\u044e\u0447 \u0445\u0440\u0430\u043d\u0438\u0442\u0441\u044f \u0432 \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u0432 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435. <\/p>\n<p>\u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c \u0437\u0430\u043c\u0435\u043d\u044b \u043a\u043b\u044e\u0447\u0435\u0439 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:<\/p>\n<ol>\n<li>\n<p>\u0423\u0434\u0430\u043b\u0438\u0442\u044c \u0432\u0441\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0438\u0437 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u0433\u043e \u043a\u043b\u044e\u0447\u0430 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 (\u0441\u043c. \u0442\u0430\u0431\u043b\u0438\u0446\u0443 \u0432\u044b\u0448\u0435). \u042d\u0442\u043e \u043f\u043e\u0437\u0432\u043e\u043b\u0438\u0442 \u043f\u0440\u0438 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u0437\u0430\u043f\u0443\u0441\u043a\u0435 worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0437\u0430\u043f\u0438\u0441\u0430\u0442\u044c \u043d\u043e\u0432\u044b\u0435 \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f, \u0442\u0435\u043c \u0441\u0430\u043c\u044b\u043c \u043e\u0431\u043d\u043e\u0432\u0438\u0432 \u043c\u0430\u0441\u0442\u0435\u0440-\u043a\u043b\u044e\u0447.<\/p>\n<\/li>\n<li>\n<p>\u0412\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0438\u043b\u0438 \u0432\u0441\u0435\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u0443 \u0434\u043b\u044f \u0432\u0440\u0443\u0447\u043d\u0443\u044e \u0441\u043e\u0437\u0434\u0430\u043d\u043d\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439 (net stop w3svc). \u041f\u043e\u043a\u0430 \u043e\u043d \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0449\u0435\u043d, worker-\u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0431\u0443\u0434\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0441\u0442\u0430\u0440\u044b\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u043a\u043b\u044e\u0447\u0435\u0439.<\/p>\n<\/li>\n<\/ol>\n<p>\u041d\u0430 \u0440\u0438\u0441\u0443\u043d\u043a\u0435 \u043f\u043e\u043a\u0430\u0437\u0430\u043d\u043e, \u0447\u0442\u043e \u043d\u0443\u0436\u043d\u043e \u0443\u0434\u0430\u043b\u044f\u0442\u044c \u0434\u043b\u044f \u0440\u0430\u0437\u043d\u044b\u0445 \u0442\u0438\u043f\u043e\u0432 Identity.<\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/ad3\/1e5\/efc\/ad31e5efcb0022b06ec57067152c6e97.png\" width=\"433\" height=\"406\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/ad3\/1e5\/efc\/ad31e5efcb0022b06ec57067152c6e97.png\"\/><\/figure>\n<p>\u041e\u0442\u043c\u0435\u0442\u0438\u043c, \u0447\u0442\u043e \u0434\u043b\u044f \u0437\u0430\u0449\u0438\u0442\u044b \u043e\u0442 \u0430\u0442\u0430\u043a \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043c\u043e\u0436\u043d\u043e \u0442\u0430\u043a\u0436\u0435 \u0437\u0430\u0432\u0435\u0441\u0442\u0438 \u0432\u0441\u0435 IIS-\u0441\u0435\u0440\u0432\u0435\u0440\u044b \u0437\u0430 VPN, \u0447\u0442\u043e\u0431\u044b \u0443 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432 \u043d\u0435 \u0431\u044b\u043b\u043e \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u0437\u0430\u043f\u0440\u043e\u0441 \u0441 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u043c VIEWSTATE.<\/p>\n<h2>\u0417\u0430\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435<\/h2>\n<p>\u041d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430\u00a0\u0442\u043e, \u0447\u0442\u043e\u00a0\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u0443\u0436\u0435 \u0431\u043e\u043b\u0435\u0435 10\u00a0\u043b\u0435\u0442, \u043c\u044b \u0432\u0438\u0434\u0438\u043c, \u0447\u0442\u043e\u00a0\u0441 2020\u00a0\u0433\u043e\u0434\u0430 \u043d\u0430\u0447\u0430\u043b\u0430\u0441\u044c \u0438 \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u0435\u0442\u0441\u044f \u0435\u0451 \u0430\u043a\u0442\u0438\u0432\u043d\u0430\u044f \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u044f \u0432\u00a0\u0434\u0438\u043a\u043e\u0439 \u0441\u0440\u0435\u0434\u0435 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u043c\u0438 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430\u043c\u0438, \u0432\u00a0\u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 Obstinate Mogwai. \u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u044e \u044d\u0442\u043e\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438\u00a0\u2014 \u0437\u0430\u0434\u0430\u0447\u0430 \u043d\u0435\u0442\u0440\u0438\u0432\u0438\u0430\u043b\u044c\u043d\u0430\u044f. \u0414\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0431\u0443\u043a\u0432\u0430\u043b\u044c\u043d\u043e \u043f\u043e\u00a0\u043e\u0434\u043d\u043e\u043c\u0443 \u0441\u043e\u0431\u044b\u0442\u0438\u044e \u0436\u0443\u0440\u043d\u0430\u043b\u0430 Windows, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0432\u00a0\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u044b\u0445 \u043e\u0431\u0441\u0442\u043e\u044f\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u0430\u0445 \u043c\u043e\u0436\u0435\u0442 \u0438 \u043d\u0435\u00a0\u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0442\u044c\u0441\u044f. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u0430\u0442\u0430\u043a\u0443\u0435\u043c\u044b\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b \u043d\u0430\u00a0\u0441\u0435\u0440\u0432\u0435\u0440\u0430\u0445 Exchange \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 \u0441\u00a0\u0432\u044b\u0441\u043e\u0447\u0430\u0439\u0448\u0438\u043c\u0438 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u044f\u043c\u0438 (worker\u2011\u043f\u0440\u043e\u0446\u0435\u0441\u0441 Exchange \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0441\u00a0\u043f\u0440\u0430\u0432\u0430\u043c\u0438 LocalSystem), \u0447\u0442\u043e\u00a0\u0434\u0435\u043b\u0430\u0435\u0442 \u044d\u0442\u0443 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0435\u0449\u0451 \u0431\u043e\u043b\u0435\u0435 \u043e\u043f\u0430\u0441\u043d\u043e\u0439.<\/p>\n<p>\u041d\u0430\u0434\u0435\u0435\u043c\u0441\u044f, \u0447\u0442\u043e\u00a0\u0432\u00a0\u043d\u0430\u0448\u0435\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u0432\u044b \u043d\u0430\u0448\u043b\u0438 \u043c\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e\u0431\u00a0\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE \u0438 \u0441\u043f\u043e\u0441\u043e\u0431\u0430\u0445 \u0434\u0435\u0442\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0445 \u0430\u0442\u0430\u043a. \u041d\u0438\u0436\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u044b \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438.<\/p>\n<p>\u041a\u0441\u0442\u0430\u0442\u0438, Obstinate Mogwai\u00a0\u2014 \u043d\u0435\u00a0\u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u0430\u044f \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0449\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE. \u0412\u00a0\u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0438\u0435 \u043c\u0435\u0441\u044f\u0446\u044b \u043c\u044b \u0432\u0438\u0434\u0435\u043b\u0438 \u043a\u0430\u043a\u00a0\u043c\u0438\u043d\u0438\u043c\u0443\u043c \u0435\u0449\u0451 \u043e\u0434\u043d\u0443. \u041f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435 \u043e\u00a0\u043d\u0435\u0439 \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c \u0432\u00a0\u043d\u0430\u0448\u0435\u043c <a href=\"https:\/\/rt-solar.ru\/solar-4rays\/blog\/?utm_source=yandex&amp;utm_medium=cpc&amp;utm_campaign=4Rays_search_brand_rf&amp;utm_content=&amp;utm_term=solar%204rays&amp;cnl=4Rays_search_brand_rf&amp;ct=type1&amp;cid=102623968&amp;cn=4Rays_search_brand_rf&amp;adid=15502912154&amp;bid=15502912154&amp;crid=0&amp;gid=5350725889&amp;kw=solar%204rays&amp;pt=premium&amp;p=1&amp;st=search&amp;s=none&amp;dt=desktop&amp;mt=&amp;mk=&amp;pid=48849352093&amp;rtid=48849352093&amp;adtn=&amp;adtid=48849352093&amp;r=%D0%93%D0%BE%D1%80%D0%BE%D0%B4%D1%81%D0%BA%D0%BE%D0%B9%20%D0%BE%D0%BA%D1%80%D1%83%D0%B3%20%D0%9B%D1%8E%D0%B1%D0%B5%D1%80%D1%86%D1%8B&amp;rid=98594&amp;cm_id=102623968_5350725889_15502912154_48849352093_48849352093_none_search_type1_no_desktop_premium_98594&amp;etext=2202.hiNrQX3I3lE8WqszPudmSAllFCyHnT2kKAonwEKK4bLfH8CovYjihhQllaRD8INjcHd6Y3hiZm5qemNnanl0ZA.dc798d05ba825f6eb6dad1802a86d9ad76617d4f&amp;yclid=17849214307373416447\"><em>\u0431\u043b\u043e\u0433\u0435<\/em><\/a> Solar 4RAYS. \u0421\u043b\u0435\u0434\u0438\u0442\u0435 \u0437\u0430\u00a0\u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f\u043c\u0438!<\/p>\n<p>\u041e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u0442\u044c\u0441\u044f \u0441\u00a0\u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f\u043c\u0438 \u0432\u00a0\u0431\u043b\u043e\u0433\u0435 4RAYS \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u00a0<a href=\"https:\/\/rt-solar.ru\/solar-4rays\/blog\/\">\u0441\u0441\u044b\u043b\u043a\u0435<\/a>. <\/p>\n<h2>IOCs<\/h2>\n<h3>File hashes<\/h3>\n<p><strong>MD5<\/strong><\/p>\n<p>41a15b8d3d8c840be37690f8353e8934<\/p>\n<p>6c63601e9c115c0e7ff3220e023b33bb<\/p>\n<p>817c8c15040261490b75d5476f8ba5d6<\/p>\n<p><strong>SHA1<\/strong><\/p>\n<p>41b543f397e77461dee196b830c30024dc20605d<\/p>\n<p>b4d3db052fa682abd38218620c27351766275911<\/p>\n<p>348dbaa262410684153228a904c60e0d9cc17014<\/p>\n<p><strong>SHA256<\/strong><\/p>\n<p>503275fbf9bcd6575a6f8a014c903727eb28f2d77f067082fcf4f60c2ca630f5<\/p>\n<p>06240b9dfb75b8a430c7c34cbb13cd066acf7f0e1d889891f576d7f4bc999c15<\/p>\n<p>4608df9207e6612bcc548d0db39a2d03ed74c9c0f30c696a3a6ef2cc792c250a<\/p>\n<h3>IP<\/h3>\n<p>IP-\u0430\u0434\u0440\u0435\u0441\u0430, \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043d\u0430\u0431\u043b\u044e\u0434\u0430\u043b\u0430\u0441\u044c \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE.<\/p>\n<p>45.12.67[.]18<\/p>\n<p>77.223.109[.]162<\/p>\n<p>77.223.109[.]163<\/p>\n<p>77.223.109[.]164<\/p>\n<p>77.223.109[.]165<\/p>\n<p>193.47.34[.]229<\/p>\n<h3>Sigma<\/h3>\n<p>\u041f\u0440\u0430\u0432\u0438\u043b\u043e \u0434\u043b\u044f \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 in memory only \u0441\u0431\u043e\u0440\u043e\u043a \u0432 \u043f\u0430\u043c\u044f\u0442\u044c<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">title: Detect   Malicious Assembly and Module Load Events<\/p>\n<p align=\"left\">id:   2617e7ed-adb7-40ba-b0f3-8f9945fe6c09<\/p>\n<p align=\"left\">status: <\/p>\n<p align=\"left\">description:   Detects suspicious Assembly and Module Load events indicative of potentially   malicious activity.<\/p>\n<p align=\"left\">references:<\/p>\n<p align=\"left\">author: 4rays<\/p>\n<p align=\"left\">date: <\/p>\n<p align=\"left\">modified: <\/p>\n<p align=\"left\">logsource:<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 product: SilkETW<\/p>\n<p align=\"left\">detection:<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 assemblywithoutsignature:<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 EventName: &#8216;Loader\/AssemblyLoad&#8217;<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0   XmlEventData.FullyQualifiedAssemblyName|contains: &#8216;PublicKeyToken=null&#8217;<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 modulewithoutpath:<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 EventName: &#8216;Loader\/ModuleLoad&#8217;<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 XmlEventData.ModuleILPath|re:   &#8216;\\s&#187;[^\\\\]+&#187;&#8216;<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 condition: assemblywithoutsignature and   modulewithoutpath<\/p>\n<p align=\"left\">falsepositives:<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#8212; Legitimate changes to assemblies and   modules.<\/p>\n<p align=\"left\">level: high<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h3>Yara<\/h3>\n<pre><code>rule mem_apt_obstinent_mogway_viewstate_assemblies {  meta:  \u00a0\u00a0description = \"detects malicious assemblies loaded in memory via viewstate deserialization using leaked keys\"  \u00a0\u00a0author = \"SOLAR 4RAYS\"  \u00a0\u00a0date = \"20240423\"  \u00a0\u00a0hash = \"41a15b8d3d8c840be37690f8353e8934\" \/\/ execute powershell cmd  \u00a0\u00a0hash = \"6c63601e9c115c0e7ff3220e023b33bb\" \/\/ upload file to C2  \u00a0\u00a0hash = \"817c8c15040261490b75d5476f8ba5d6\" \/\/ fileview  strings:  \u00a0\u00a0\u00a0\u00a0 \/\/ xor key used in viewstate payloads  \u00a0\u00a0\u00a0\u00a0 $ = { 45 AF 33 27 56 DF CA BB 12 67 9A 52 63 B8 2B C7 62 1F 10 8D 15 }  condition:  \u00a0\u00a0\u00a0\u00a0 any of them  }<\/code><\/pre>\n<h3>MITRE<\/h3>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>\u0422\u0435\u0445\u043d\u0438\u043a\u0430, \u0442\u0430\u043a\u0442\u0438\u043a\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u0430<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Initial Access<br \/>   T1190 \u2013 Exploit Public-Facing Application<\/p>\n<\/td>\n<td>\n<p align=\"left\">APT-\u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 Obstinent Mogway   (\u0434\u0430\u043b\u0435\u0435 &#8212; \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a) \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u043e\u0432\u0430\u043b\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE   \u0434\u043b\u044f \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u0434\u0430 \u043d\u0430 Exchange-\u0441\u0435\u0440\u0432\u0435\u0440\u0430\u0445 \u0436\u0435\u0440\u0442\u0432\u044b<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Execution<br \/>   T1059.001 \u2013 Command and Scripting Interpreter: PowerShell<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b powershell-\u043a\u043e\u043c\u0430\u043d\u0434\u044b \u043f\u0443\u0442\u0435\u043c \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 .NET-\u0441\u0431\u043e\u0440\u043e\u043a \u0432 \u043f\u0430\u043c\u044f\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 w3wp.exe \u0432 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043b .NET RAT \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 \u043f\u0443\u0442\u0435\u043c \u0437\u0430\u043f\u0443\u0441\u043a\u0430 powershell \u0441\u043a\u0440\u0438\u043f\u0442\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Persistence<br \/>   T1505.003 Server Software Component: Web Shell<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430   \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0435 \u0432\u0435\u0431\u0448\u0435\u043b\u043b\u044b \u0434\u043b\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u043c\u0430\u043d\u0434 \u0438 \u0437\u0430\u043a\u0440\u0435\u043f\u043b\u0435\u043d\u0438\u044f<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Defense Evasion<br \/>   T1055.001 Process Injection: Dynamic-link Library Injection<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b   \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 .NET-\u0441\u0431\u043e\u0440\u043a\u0438 \u0432 \u043f\u0430\u043c\u044f\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 w3wp.exe<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Defense Evasion<br \/>   T1055.003 Process Injection: Thread Execution Hijacking<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b .NET RAT \u0432   \u043f\u0440\u043e\u0446\u0435\u0441\u0441 powershell.exe<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Defense Evasion<br \/>   T1036.005 \u2013 Masquerading: Match Legitimate Name or Location<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u043d\u0430\u0437\u0432\u0430\u043b .NET-\u0441\u0431\u043e\u0440\u043a\u0438   \u0438\u043c\u0435\u043d\u0430\u043c\u0438, \u043c\u0438\u043c\u0438\u043a\u0440\u0438\u0440\u0443\u044e\u0449\u0438\u043c\u0438 \u043f\u043e\u0434 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0435 .NET-\u0441\u0431\u043e\u0440\u043a\u0438 \u0434\u043b\u044f \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0439   \u0441\u043a\u0440\u044b\u0442\u043d\u043e\u0441\u0442\u0438<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Defense Evasion<\/p>\n<p align=\"left\">T1070.004 \u2013 Indicator Removal on Host: File Deletion<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0443\u0434\u0430\u043b\u044f\u043b \u0441\u0432\u043e\u0438 \u0444\u0430\u0439\u043b\u044b \u0438   \u0430\u0440\u0445\u0438\u0432\u044b \u0441 \u0434\u0430\u043d\u043d\u044b\u043c\u0438<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Credential Access<br \/>   T1003.001 OS Credential Dumping: LSASS Memory<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0432\u043a\u043b\u044e\u0447\u0430\u043b \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0443 \u0432   \u0440\u0435\u0435\u0441\u0442\u0440\u0435 \u0434\u043b\u044f \u0443\u043f\u0440\u043e\u0449\u0435\u043d\u0438\u044f \u0434\u0430\u043c\u043f\u0430 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0433\u043e \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u0430 \u0432 \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u043c \u0432\u0438\u0434\u0435<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Discovery<br \/>   T1012 Query Registry<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u043b \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438   \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u0447\u0435\u0440\u0435\u0437 \u0443\u0442\u0438\u043b\u0438\u0442\u0443 reg.exe<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Discovery<br \/>   T1083 File and Directory Discovery<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u043f\u043e\u043b\u0443\u0447\u0430\u043b \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435   \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u044e\u0449\u0438\u0445 \u0435\u0433\u043e \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u0432 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e Get-ChildItem \u043a\u043e\u043c\u0430\u043d\u0434<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Discovery<br \/>   T1087.001 Account Discovery: Local Account<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b \u043a\u043e\u043c\u0430\u043d\u0434\u044b   net user<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Command and Control<br \/>   T1070.004 \u2013 Indicator Removal on Host: File Deletion<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u043b   POST-\u0437\u0430\u043f\u0440\u043e\u0441\u044b \u0441 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u043c\u0438 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430\u043c\u0438 VIEWSTATE<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Command and Control<br \/>   T1132.001 Data Encoding: Standard Encoding<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0432 POST-\u0437\u0430\u043f\u0440\u043e\u0441\u0430\u0445   \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u043b \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b (xor + base64) \u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u043b \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0438\u0445   \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0432 xor-\u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h2>\u041f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 I \u2013 .NET-\u0441\u0431\u043e\u0440\u043a\u0438 \u0438\u0437 \u043f\u0430\u043c\u044f\u0442\u0438<\/h2>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\"><strong>name<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>md5<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>comment<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Microsoft.Exchange.Management.Powershell.Support.dll<\/p>\n<\/td>\n<td>\n<p align=\"left\">41a15b8d3d8c840be37690f8353e8934<\/p>\n<\/td>\n<td>\n<p align=\"left\">Ps-\u0441\u0431\u043e\u0440\u043a\u0430 \u0438\u0437 \u043f\u0430\u043c\u044f\u0442\u0438 w3wp.exe<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Microsoft.Exchange.UM.UMCommon.dll<\/p>\n<\/td>\n<td>\n<p align=\"left\">817c8c15040261490b75d5476f8ba5d6<\/p>\n<\/td>\n<td>\n<p align=\"left\">FileView-\u0441\u0431\u043e\u0440\u043a\u0430 \u0438\u0437 \u043f\u0430\u043c\u044f\u0442\u0438 w3wp.exe<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Microsoft.Exchange.MessageSecurity.dll<\/p>\n<\/td>\n<td>\n<p align=\"left\">6c63601e9c115c0e7ff3220e023b33bb<\/p>\n<\/td>\n<td>\n<p align=\"left\">FileDown-\u0441\u0431\u043e\u0440\u043a\u0430 \u0438\u0437 \u043f\u0430\u043c\u044f\u0442\u0438 w3wp.exe<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h2>\u041f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 II \u2013 \u041f\u0440\u0438\u043c\u0435\u0440\u044b \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u043f\u0440\u0438 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0435 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0439 \u0441\u0431\u043e\u0440\u043a\u0438<\/h2>\n<p><strong>AssemblyLoad_V1<\/strong><\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">{<\/p>\n<p align=\"left\">\u00a0 &#171;ProviderGuid&#187;:   &#171;e13c0d23-ccbc-4e12-931b-d9cc2eee27e4&#187;,<\/p>\n<p align=\"left\">\u00a0 &#171;YaraMatch&#187;: [],<\/p>\n<p align=\"left\">\u00a0 &#171;ProviderName&#187;:   &#171;Microsoft-Windows-DotNETRuntime&#187;,<\/p>\n<p align=\"left\">\u00a0 &#171;EventName&#187;:   &#171;Loader\/AssemblyLoad&#187;,<\/p>\n<p align=\"left\">\u00a0 &#171;Opcode&#187;: 37,<\/p>\n<p align=\"left\">\u00a0 &#171;OpcodeName&#187;:   &#171;AssemblyLoad&#187;,<\/p>\n<p align=\"left\">\u00a0 &#171;TimeStamp&#187;:   &lt;REDACTED>&#187;,<\/p>\n<p align=\"left\">\u00a0 &#171;ThreadID&#187;: 12268,<\/p>\n<p align=\"left\">\u00a0 &#171;ProcessID&#187;: 15308,<\/p>\n<p align=\"left\">\u00a0 &#171;ProcessName&#187;: &#171;w3wp&#187;,<\/p>\n<p align=\"left\">\u00a0 &#171;PointerSize&#187;: 8,<\/p>\n<p align=\"left\">\u00a0 &#171;EventDataLength&#187;: 238,<\/p>\n<p align=\"left\">\u00a0 &#171;XmlEventData&#187;: {<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;FormattedMessage&#187;:   &#171;AssemblyID=2,209,623,677,488;\\r\\nAppDomainID=2,209,468,624,928;\\r\\nAssemblyFlags=0;\\r\\nFullyQualifiedAssemblyName=0;\\r\\nClrInstanceID=Microsoft.Exchange.Management.Powershell.Support,   Version=0.0.0.0, Culture=neutral, PublicKeyToken=null &#171;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;ProviderName&#187;:   &#171;Microsoft-Windows-DotNETRuntime&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;ClrInstanceID&#187;:   &#171;29&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;AppDomainID&#187;:   &#171;2,209,468,624,928&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;BindingID&#187;: &#171;0&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;MSec&#187;: &#171;7581.5038&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;AssemblyID&#187;:   &#171;2,209,623,677,488&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;PID&#187;: &#171;15308&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;TID&#187;: &#171;12268&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;AssemblyFlags&#187;: &#171;0&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;PName&#187;: &#171;&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;FullyQualifiedAssemblyName&#187;:   &#171;Microsoft.Exchange.Management.Powershell.Support, Version=0.0.0.0,   Culture=neutral, PublicKeyToken=null&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;EventName&#187;:   &#171;Loader\/AssemblyLoad&#187;<\/p>\n<p align=\"left\">\u00a0 }<\/p>\n<p align=\"left\">}<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p><strong>ModuleLoad_V2<\/strong><\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"left\">{<\/p>\n<p align=\"left\">\u00a0 &#171;ProviderGuid&#187;:   &#171;e13c0d23-ccbc-4e12-931b-d9cc2eee27e4&#187;,<\/p>\n<p align=\"left\">\u00a0 &#171;YaraMatch&#187;: [],<\/p>\n<p align=\"left\">\u00a0 &#171;ProviderName&#187;:   &#171;Microsoft-Windows-DotNETRuntime&#187;,<\/p>\n<p align=\"left\">\u00a0 &#171;EventName&#187;:   &#171;Loader\/ModuleLoad&#187;,<\/p>\n<p align=\"left\">\u00a0 &#171;Opcode&#187;: 33,<\/p>\n<p align=\"left\">\u00a0 &#171;OpcodeName&#187;:   &#171;ModuleLoad&#187;,<\/p>\n<p align=\"left\">\u00a0 &#171;TimeStamp&#187;:   &#171;&lt;REDACTED>&#187;,<\/p>\n<p align=\"left\">\u00a0 &#171;ThreadID&#187;: 12268,<\/p>\n<p align=\"left\">\u00a0 &#171;ProcessID&#187;: 15308,<\/p>\n<p align=\"left\">\u00a0 &#171;ProcessName&#187;: &#171;w3wp&#187;,<\/p>\n<p align=\"left\">\u00a0 &#171;PointerSize&#187;: 8,<\/p>\n<p align=\"left\">\u00a0 &#171;EventDataLength&#187;: 170,<\/p>\n<p align=\"left\">\u00a0 &#171;XmlEventData&#187;: {<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;ModuleID&#187;:   &#171;140,735,524,732,376&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;ManagedPdbSignature&#187;:   &#171;00000000-0000-0000-0000-000000000000&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;Reserved1&#187;: &#171;0&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;ManagedPdbBuildPath&#187;:   &#171;&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;ModuleNativePath&#187;:   &#171;&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;NativePdbBuildPath&#187;:   &#171;&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;FormattedMessage&#187;:   &#171;ModuleID=140,735,524,732,376;\\r\\nAssemblyID=2,209,625,905,760;\\r\\nModuleFlags=Manifest;\\r\\nModuleILPath=0;\\r\\nModuleNativePath=Microsoft.Exchange.Management.Powershell.Support;\\r\\nClrInstanceID=;\\r\\nManagedPdbSignature=29;\\r\\nManagedPdbAge=00000000-0000-0000-0000-000000000000;\\r\\nManagedPdbBuildPath=0;\\r\\nNativePdbSignature=;\\r\\nNativePdbAge=00000000-0000-0000-0000-000000000000;\\r\\nNativePdbBuildPath=0   &#171;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;MSec&#187;: &#171;9847.4270&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;NativePdbAge&#187;: &#171;0&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;ModuleFlags&#187;:   &#171;Manifest&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;AssemblyID&#187;:   &#171;2,209,625,905,760&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;PID&#187;: &#171;15308&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;NativePdbSignature&#187;:   &#171;00000000-0000-0000-0000-000000000000&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;ModuleILPath&#187;:   &#171;Microsoft.Exchange.Management.Powershell.Support&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;TID&#187;: &#171;12268&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;ManagedPdbAge&#187;: &#171;0&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;ProviderName&#187;:   &#171;Microsoft-Windows-DotNETRuntime&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;PName&#187;: &#171;&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;ClrInstanceID&#187;:   &#171;29&#187;,<\/p>\n<p align=\"left\">\u00a0\u00a0\u00a0 &#171;EventName&#187;:   &#171;Loader\/ModuleLoad&#187;<\/p>\n<p align=\"left\">\u00a0 }<\/p>\n<p align=\"left\">}<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p><strong>\u0410\u0432\u0442\u043e\u0440\u044b:<\/strong>\u00a0\u043a\u043e\u043c\u0430\u043d\u0434\u0430 \u0446\u0438\u0444\u0440\u043e\u0432\u043e\u0439 \u043a\u0440\u0438\u043c\u0438\u043d\u0430\u043b\u0438\u0441\u0442\u0438\u043a\u0438 \u0438 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u044b\u00a0(DFIR)\u00a0\u0446\u0435\u043d\u0442\u0440\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043a\u0438\u0431\u0435\u0440\u0443\u0433\u0440\u043e\u0437 Solar 4RAYS<\/p>\n<\/p>\n<\/div>\n<\/div>\n<\/div>\n<p><!----><!----><\/div>\n<p><!----><!----><br \/> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/814891\/\"> https:\/\/habr.com\/ru\/articles\/814891\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<div><!--[--><!--]--><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width\"><\/figure>\n<p>\u0412 2023\u00a0\u0433\u043e\u0434\u0443 \u043c\u044b \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b\u0438 <a href=\"https:\/\/rt-solar.ru\/solar-4rays\/blog\/\">\u0431\u043b\u043e\u0433 <\/a>\u0446\u0435\u043d\u0442\u0440\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043a\u0438\u0431\u0435\u0440\u0443\u0433\u0440\u043e\u0437 Solar 4RAYS, \u0433\u0434\u0435 \u0434\u0435\u043b\u0438\u043c\u0441\u044f \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u043e\u0439 \u043e\u0431\u00a0\u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0433\u0440\u043e\u0437\u0430\u0445, \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430\u043c\u0438 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0439 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u043e\u0432, \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u043c\u0438 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438 \u0434\u043b\u044f\u00a0\u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430\u00a0\u043a\u0438\u0431\u0435\u0440\u0430\u0442\u0430\u043a\u0438 \u0438 \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u043c\u0438 \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u0430\u043c\u0438. \u041d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u043c\u044b \u043f\u0443\u0431\u043b\u0438\u043a\u0443\u0435\u043c \u0438 \u0437\u0434\u0435\u0441\u044c, \u0438 \u044d\u0442\u043e\u00a0\u2014 \u043e\u0434\u043d\u043e \u0438\u0437\u00a0\u043d\u0438\u0445.<\/p>\n<p>\u0412 \u043a\u043e\u043d\u0446\u0435 \u043f\u0440\u043e\u0448\u043b\u043e\u0433\u043e \u0433\u043e\u0434\u0430 \u043c\u044b \u0432 \u043a\u043e\u043c\u0430\u043d\u0434\u0435 Solar 4RAYS \u043f\u0440\u043e\u0432\u0435\u043b\u0438 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0430\u0442\u0430\u043a\u0438 \u043d\u0430 \u0440\u043e\u0441\u0441\u0438\u0439\u0441\u043a\u0443\u044e \u0442\u0435\u043b\u0435\u043a\u043e\u043c\u2011\u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044e. \u0415\u0451 \u0441\u0435\u0442\u044c\u00a0\u0431\u044b\u043b\u0430 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u0430\u0437\u0438\u0430\u0442\u0441\u043a\u043e\u0439 APT\u2011\u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u043e\u0439, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u043c\u044b \u043d\u0430\u0437\u0432\u0430\u043b\u0438 Obstinate Mogwai (\u0438\u043b\u0438 \u00ab\u0423\u043f\u0440\u044f\u043c\u044b\u0439 \u0414\u0435\u043c\u043e\u043d\u00bb \u0432\u00a0\u043f\u0435\u0440\u0435\u0432\u043e\u0434\u0435 \u0441\u00a0\u0430\u043d\u0433\u043b\u0438\u0439\u0441\u043a\u043e\u0433\u043e). \u041f\u043e\u0447\u0435\u043c\u0443 \u00ab\u0423\u043f\u0440\u044f\u043c\u044b\u0439?\u00bb \u0425\u0430\u043a\u0435\u0440\u044b \u0432\u043d\u043e\u0432\u044c \u0438 \u0432\u043d\u043e\u0432\u044c \u043f\u0440\u043e\u043d\u0438\u043a\u0430\u043b\u0438 \u0432\u00a0\u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u044e \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0434\u0430\u0432\u043d\u043e \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043d\u0435\u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432\u00a0\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0435 VIEWSTATE \u0441\u0440\u0435\u0434\u044b ASP.NET (\u0434\u0430\u043b\u0435\u0435 \u0431\u0443\u0434\u0435\u043c \u043d\u0430\u0437\u044b\u0432\u0430\u0442\u044c \u044d\u0442\u043e \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0435\u0439 VIEWSTATE).<\/p>\n<p>\u041c\u044b \u0441\u043c\u043e\u0433\u043b\u0438 \u043e\u043a\u043e\u043d\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u0437\u0430\u043a\u0440\u044b\u0442\u044c \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c \u0432\u0441\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u0434\u043b\u044f \u043f\u0440\u043e\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u044f. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c \u0438\u0441\u0442\u043e\u0440\u0438\u044e \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u043e\u043f\u0438\u0448\u0435\u043c, \u043a\u0430\u043a \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c \u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u0430\u0442\u0430\u043a\u0438 \u0438 \u043a\u0430\u043a \u043d\u0430 \u043d\u0438\u0445 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u0442\u044c, \u0430 \u0432 \u043a\u043e\u043d\u0446\u0435 \u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043c \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438. <\/p>\n<details class=\"spoiler\">\n<summary>\u0427\u0442\u043e \u0442\u0430\u043a\u043e\u0435 VIEWSTATE<\/summary>\n<div class=\"spoiler__content\">\n<p>VIEWSTATE\u00a0\u2014 \u044d\u0442\u043e \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u0432\u00a0ASP.NET Framework, \u0432\u00a0\u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442\u0441\u044f \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435 ASPX\u2011\u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b \u043f\u0440\u0438\u00a0\u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0438 HTTP\u2011\u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u043e\u0432 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0432\u00a0\u0444\u043e\u0440\u043c\u0435 \u0438 \u0434\u0440\u0443\u0433\u0430\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043e\u00a0\u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0435). HTTP \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u043e\u043c \u0431\u0435\u0437\u00a0\u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u044f (stateless), \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432\u00a0ASP.NET \u044d\u0442\u0443 \u0437\u0430\u0434\u0430\u0447\u0443 \u0440\u0435\u0448\u0430\u044e\u0442 \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e VIEWSTATE. \u0412\u00a0HTTP\u2011\u0437\u0430\u043f\u0440\u043e\u0441\u0430\u0445 \u0434\u0430\u043d\u043d\u044b\u0435 VIEWSTATE \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0443\u044e\u0442\u0441\u044f \u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0443\u044e\u0442\u0441\u044f \u043d\u0430\u00a0\u0441\u0442\u043e\u0440\u043e\u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u0435\u043b\u044f. <\/p>\n<p>\u0412\u00a0ASP.NET \u0434\u043b\u044f\u00a0\u044d\u0442\u043e\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043a\u043b\u0430\u0441\u0441 <a href=\"https:\/\/learn.microsoft.com\/en-us\/dotnet\/api\/system.web.ui.objectstateformatter?view=netframework-4.8.1\">ObjectStateFormatter<\/a>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u0430\u043c Microsoft \u043d\u0430\u0437\u0432\u0430\u043b \u043d\u0435\u043d\u0430\u0434\u0435\u0436\u043d\u044b\u043c \u0438 \u043d\u0435\u00a0\u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u043e\u0432\u0430\u043b \u0432\u00a0\u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u0430 \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u0432. \u041e\u043d\u00a0\u0436\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u043e\u0439 \u0438\u0437\u00a0\u043f\u0440\u0438\u0447\u0438\u043d \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043d\u0438\u044f RCE\u2011\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438.<\/p>\n<p>\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0438 \u0430\u0442\u0430\u043a, \u0441\u00a0\u043d\u0435\u0439 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0445,\u00a0\u2014 \u044d\u0442\u043e \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u0430\u044f \u0431\u043e\u043b\u044c\u0448\u0430\u044f \u0442\u0435\u043c\u0430, \u043e\u00a0\u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0432\u044b\u043f\u0443\u0449\u0435\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u043e\u0435 \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u043e \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0439 \u0438 \u0441\u0442\u0430\u0442\u0435\u0439. \u0414\u043b\u044f\u00a0\u043e\u0446\u0435\u043d\u043a\u0438 \u043c\u0430\u0441\u0448\u0442\u0430\u0431\u0430 \u0432\u0441\u043f\u043e\u043c\u043d\u0438\u043c \u0441\u0430\u043c\u044b\u0435 \u0432\u0430\u0436\u043d\u044b\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u044f, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0435 \u0441\u00a0\u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0435\u0439 \u0432\u00a0ASP.NET.<\/p>\n<figure class=\"full-width\">\n<div><figcaption><em>\u0418\u0441\u0442\u043e\u0440\u0438\u044f \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432 \u0438\u043d\u0434\u0443\u0441\u0442\u0440\u0438\u0438<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u0421\u0435\u043d\u0442\u044f\u0431\u0440\u044c 2014\u00a0\u2014 Microsoft \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043f\u0430\u0442\u0447 KB 290\u00a0524, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e\u00a0\u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0432\u043a\u043b\u044e\u0447\u0430\u0435\u0442 MAC\u2011\u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u044e \u0434\u043b\u044f\u00a0\u0432\u0441\u0435\u0445 \u0432\u0435\u0440\u0441\u0438\u0439 ASP.NET (\u0441 1.1\u00a0\u0434\u043e 4.5.2). <\/p>\n<p>\u041d\u043e\u044f\u0431\u0440\u044c 2014\u00a0\u2014 \u044d\u043a\u0441\u043f\u0435\u0440\u0442 \u0410\u043b\u0435\u043a\u0441\u0430\u043d\u0434\u0440 \u0425\u0435\u0440\u0446\u043e\u0433 (Alexandre Herzog) \u043d\u0430\u00a0\u043a\u043e\u043d\u0444\u0435\u0440\u0435\u043d\u0446\u0438\u0438 Application Security Forum\u00a0\u2014 Western Switzerland (<a href=\"https:\/\/x.com\/appsec_forum\">@appsec_forum<\/a>) \u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u0443\u0435\u0442 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE \u0432\u00a0SharePoint. \u041f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u0441\u043f\u043e\u0441\u043e\u0431 \u043e\u043f\u0438\u0440\u0430\u043b\u0441\u044f \u043d\u0430\u00a0\u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0435 MAC\u2011\u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 \u0432\u00a0ASP.NET.<\/p>\n<p>\u0418\u044e\u043b\u044c 2017\u00a0\u2014 \u044d\u043a\u0441\u043f\u0435\u0440\u0442\u044b \u0410\u043b\u044c\u0432\u0430\u0440\u043e \u041c\u0443\u043d\u043e\u0437 (Alvaro Mu\u00f1oz) \u0438 \u041e\u043b\u0435\u043a\u0441\u0430\u043d\u0434\u0440 \u041c\u0438\u0440\u043e\u0448 (Oleksandr Mirosh) \u0432\u044b\u0441\u0442\u0443\u043f\u0430\u044e\u0442 \u0441\u00a0\u0434\u043e\u043a\u043b\u0430\u0434\u043e\u043c <a href=\"https:\/\/www.blackhat.com\/docs\/us-17\/thursday\/us-17-Munoz-Friday-The-13th-JSON-Attacks-wp.pdf\">\u00abFriday the 13th JSON Attacks\u00bb<\/a> \u043d\u0430\u00a0Black Hat 2017\u00a0\u0432\u00a0\u0421\u0428\u0410, \u0433\u0434\u0435 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u0433\u0430\u0434\u0436\u0435\u0442\u044b \u0434\u043b\u044f\u00a0\u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE. <\/p>\n<p>\u0410\u043f\u0440\u0435\u043b\u044c 2019\u00a0\u2014 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0439 \u044d\u043a\u0441\u043f\u0435\u0440\u0442 \u0432\u00a0\u043e\u0431\u043b\u0430\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 <a href=\"https:\/\/soroush.me\/blog\/2019\/04\/exploiting-deserialisation-in-asp-net-via-viewstate\/\">\u0421\u043e\u0440\u0443\u0448 \u0414\u0430\u043b\u0438\u043b\u0438<\/a> \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0441\u0432\u043e\u0451 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b. \u041f\u0440\u0438\u0432\u043e\u0434\u0438\u043c \u0435\u0433\u043e \u043a\u0440\u0430\u0442\u043a\u0443\u044e \u0432\u044b\u0436\u0438\u043c\u043a\u0443: \u0432\u044b\u043f\u0443\u0449\u0435\u043d\u043d\u044b\u0439 Microsoft \u0432 2014\u00a0\u0433\u043e\u0434\u0443 \u043f\u0430\u0442\u0447 <strong><em>\u0437\u0430\u0442\u0440\u0443\u0434\u043d\u044f\u0435\u0442<\/em><\/strong> \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u043d\u043e\u00a0\u043d\u0435\u00a0\u0437\u0430\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0435\u0451 \u043f\u043e\u043b\u043d\u043e\u0441\u0442\u044c\u044e: \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 MAC\u2011\u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 \u043c\u043e\u0436\u043d\u043e \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442\u044c, \u0435\u0441\u043b\u0438 \u0443\u00a0\u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430 \u0435\u0441\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f \u043a\u00a0\u0432\u0435\u0431\u2011\u0441\u0435\u0440\u0432\u0435\u0440\u0443, \u0430\u00a0\u0438\u043c\u0435\u043d\u043d\u043e\u00a0\u2014 \u043a\u00a0\u043a\u043b\u044e\u0447\u0430\u043c \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 VIEWSTATE (\u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435 \u043e\u00a0\u043d\u0438\u0445\u00a0\u2014 \u0434\u0430\u043b\u0435\u0435 \u0432\u00a0\u0441\u0442\u0430\u0442\u044c\u0435).<\/p>\n<figure class=\"full-width\">\n<div><figcaption><em>\u041a\u043b\u044e\u0447\u0438 \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 VIEWSTATE \u0432 \u0444\u0430\u0439\u043b\u0435 web.config \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u043d\u043e\u043c\u0438\u043d\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u043d\u0430\u00a0Pwnie Awards \u043a\u0430\u043a <a href=\"https:\/\/web.archive.org\/web\/20190803165724\/https:\/pwnies.com\/nominations\/\">\u00abMost under\u2011hyped research\u00bb<\/a> (\u0441\u0430\u043c\u043e\u0435 \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0440\u0430\u0441\u043a\u0440\u0443\u0447\u0435\u043d\u043d\u043e\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435). \u0421\u0440\u0435\u0434\u0438 \u043f\u0440\u043e\u0447\u0435\u0433\u043e \u0432\u00a0\u0442\u0435\u043a\u0441\u0442\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e\u00a0\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0441\u044f \u043a\u00a0WON&#8217;T FIX (\u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c\u0441\u044f). \u041e\u0434\u043d\u043e \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0438\u0437\u00a0\u043e\u043f\u0438\u0441\u0430\u043d\u0438\u044f \u0437\u0430\u044f\u0432\u043a\u0438 \u043d\u0430\u00a0\u043d\u043e\u043c\u0438\u043d\u0430\u0446\u0438\u044e \u043a\u0440\u0430\u0441\u043d\u043e\u0440\u0435\u0447\u0438\u0432\u043e \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442 \u0441\u0443\u0442\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438:<\/p>\n<figure class=\"full-width\">\n<div><figcaption><em>\u041e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0441\u0442\u0430\u0442\u044c\u0438 \u0421\u043e\u0440\u0443\u0448 \u0414\u0430\u043b\u0438\u043b\u0438 \u0432 \u043d\u043e\u043c\u0438\u043d\u0430\u0446\u0438\u0438 \u00abMost under\u2011hyped research\u00bb \u043d\u0430\u00a0\u0446\u0435\u0440\u0435\u043c\u043e\u043d\u0438\u0438 Pwnie awards 2019<\/em><\/figcaption><\/div>\n<\/figure>\n<p>\u0414\u0440\u0443\u0433\u0438\u043c\u0438 \u0441\u043b\u043e\u0432\u0430\u043c\u0438, \u0435\u0441\u043b\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043a\u0430\u043a\u0438\u043c\u2011\u043b\u0438\u0431\u043e \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u043f\u043e\u043b\u0443\u0447\u0430\u044e\u0442 \u0434\u043e\u0441\u0442\u0443\u043f \u043a\u00a0\u043a\u043b\u044e\u0447\u0430\u043c \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 VIEWSTATE \u0432\u0435\u0431\u2011\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043d\u0430\u00a0\u0441\u0435\u0440\u0432\u0435\u0440\u0435, \u0442\u043e \u043e\u043d\u0438 \u043c\u043e\u0433\u0443\u0442, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438, \u0443\u0434\u0430\u043b\u0435\u043d\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u043a\u043e\u0434 \u043d\u0430\u00a0\u044d\u0442\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435.<\/p>\n<p>\u0424\u0435\u0432\u0440\u0430\u043b\u044c 2020\u00a0\u2014 Microsoft \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043f\u0430\u0442\u0447 \u0434\u043b\u044f\u00a0CVE-2020\u20130688\u00a0\u2014 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u0441\u043c\u044b\u0441\u043b \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0432\u00a0\u0442\u043e\u043c, \u0447\u0442\u043e\u00a0\u0443\u00a0\u0432\u0441\u0435\u0445 \u0432\u0435\u0440\u0441\u0438\u0439 Exchange \u043f\u043e\u0441\u043b\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438\u00a0\u0431\u044b\u043b\u0438 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u0435 \u043a\u043b\u044e\u0447\u0438 \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u0438 \u0434\u043b\u044f\u00a0backend ECP. \u0412\u0441\u043a\u043e\u0440\u0435 \u0441\u0442\u0430\u043b\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0435 POC. \u0412\u00a0\u0434\u0430\u043d\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0434\u043b\u044f\u00a0\u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0439 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u0432\u0430\u043b\u0438\u0434\u043d\u044b\u0435 \u0443\u0447\u0435\u0442\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u043b\u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f \u0434\u043e\u00a0backend \u043f\u0430\u043d\u0435\u043b\u0438 ECP. \u042d\u0442\u0443 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043c\u043e\u0436\u043d\u043e \u0440\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0442\u044c \u043a\u0430\u043a\u00a0\u0447\u0430\u0441\u0442\u043d\u044b\u0439 \u0441\u043b\u0443\u0447\u0430\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE, \u0442\u0430\u043a \u043a\u0430\u043a\u00a0CVE-2020\u20130688\u00a0\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0430 \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0430\u00a0\u043e\u0434\u0438\u043d \u043f\u0443\u0442\u044c\u00a0\u2014 backend ECP. \u0422\u0435\u043c \u043d\u0435\u00a0\u043c\u0435\u043d\u0435\u0435, \u044d\u0442\u0430 \u0432\u0430\u0436\u043d\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043c\u043e\u0433\u043b\u0430 \u043d\u0430\u043f\u043e\u043c\u043d\u0438\u0442\u044c \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0430\u043c \u043e\u00a0\u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0438 \u0435\u0451 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044f\u0445, \u0442\u0430\u043a \u043a\u0430\u043a\u00a0\u0438\u043c\u0435\u043d\u043d\u043e \u043f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0439 CVE \u0441\u0442\u0430\u043b\u0438 \u043f\u043e\u044f\u0432\u043b\u044f\u0442\u044c\u0441\u044f \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0435 \u043e\u0442\u0447\u0435\u0442\u044b \u043e\u0431\u00a0\u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE \u0432\u00a0\u043e\u0431\u0449\u0435\u043c \u0444\u043e\u0440\u043c\u0430\u0442\u0435 (\u043d\u0430 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0445 \u043f\u0443\u0442\u044f\u0445) \u0432\u00a0\u0434\u0438\u043a\u043e\u0439 \u0441\u0440\u0435\u0434\u0435.<\/p>\n<h3>\u0410\u0442\u0430\u043a\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432 \u0434\u0438\u043a\u043e\u0439 \u043f\u0440\u0438\u0440\u043e\u0434\u0435<\/h3>\n<p>\u0418\u044e\u043d\u044c 2020\u00a0\u2014 \u0410\u0432\u0441\u0442\u0440\u0430\u043b\u0438\u0439\u0441\u043a\u0438\u0439 \u0446\u0435\u043d\u0442\u0440 \u043a\u0438\u0431\u0435\u0440\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 (ACSC) \u0423\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0440\u0430\u0434\u0438\u043e\u0442\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043e\u0431\u043e\u0440\u043e\u043d\u044b \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u043b <a href=\"https:\/\/www.cyber.gov.au\/about-us\/advisories\/advisory-2020-008-copy-paste-compromises-tactics-techniques-and-procedures-used-target-multiple-australian-networks\">\u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0438 2020\u2013008\u00a0\u043e\u0431\u00a0\u0430\u0442\u0430\u043a\u0435 Copy\u2011paste compromises<\/a>, \u0432\u00a0\u043a\u043e\u0442\u043e\u0440\u044b\u0445\u00a0\u0431\u044b\u043b\u0438 \u043e\u043f\u0438\u0441\u0430\u043d\u044b \u0442\u0430\u043a\u0442\u0438\u043a\u0438 \u0438 \u0442\u0435\u0445\u043d\u0438\u043a\u0438 \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0439 \u043f\u0440\u043e\u0433\u043e\u0441\u0443\u0434\u0430\u0440\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u043e\u0432\u0430\u043b\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438:<\/p>\n<ul>\n<li>\n<p>Telerik UI CVE-2019\u201318\u00a0935\u00a0\u2014 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432.NET JavaScriptSerializer. \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0434\u043b\u044f\u00a0\u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u0440\u0435\u0432\u0435\u0440\u0441 \u0448\u0435\u043b\u043b\u0430;<\/p>\n<\/li>\n<li>\n<p>CVE-2020\u20130688\u00a0\u2014 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0434\u043b\u044f\u00a0\u0440\u0430\u0437\u043c\u0435\u0449\u0435\u043d\u0438\u044f \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u0432\u0435\u0431\u2011\u0448\u0435\u043b\u043b\u043e\u0432 (\u043a\u0430\u0441\u0442\u043e\u043c\u043d\u044b\u0445 \u0438 open source), \u0432\u00a0\u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430 js_eval \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0432\u00a0\u043f\u0430\u043c\u044f\u0442\u0438 \u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043c\u043d\u043e\u0433\u043e\u043c\u043e\u0434\u0443\u043b\u044c\u043d\u044b\u043c;<\/p>\n<\/li>\n<li>\n<p>\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 dotm\u2011\u0448\u0430\u0431\u043b\u043e\u043d\u044b Word, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0442\u0430\u043a\u0436\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0438 Powershell Empire \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043d\u0430\u0433\u0440\u0443\u0437\u043e\u043a \u00ab\u0432\u0440\u0443\u0447\u043d\u0443\u044e\u00bb\u00a0\u2014 \u0447\u0435\u0440\u0435\u0437 \u0432\u044b\u0437\u043e\u0432 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u043c \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u043c\u00a0\u2014 BinaryFormatter.<\/p>\n<\/li>\n<li>\n<p>\u0412\u00a0\u043c\u0430\u0435 2020\u00a0\u0433\u043e\u0434\u0430\u00a0\u0431\u044b\u043b\u0438 \u0432\u044b\u043f\u0443\u0449\u0435\u043d\u044b \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0438:<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/www.cyber.gov.au\/about-us\/advisories\/advisory-2020-004-remote-code-execution-vulnerability-being-actively-exploited-vulnerable-versions-telerik-ui-sophisticated-actors\">2020\u2013004<\/a> \u043f\u043e\u00a0\u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044e \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432\u00a0CVE-2019\u201318\u00a0935\u00a0\u0432\u00a0\u041f\u041e Telerik, \u0430\u00a0\u0442\u0430\u043a\u0436\u0435 \u043f\u043e\u00a0\u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u043d\u0430\u00a0\u0442\u0430\u043a\u0443\u044e \u0430\u0442\u0430\u043a\u0443.<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/www.cyber.gov.au\/about-us\/advisories\/2020-006-detecting-and-mitigating-exploitation-vulnerability-microsoft-internet-information-services\">2020\u2013006<\/a> \u043f\u043e\u00a0\u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044e \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE \u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432\u00a0\u041f\u041e\u00a0Telerik, \u0430\u00a0\u0442\u0430\u043a\u0436\u0435 \u043f\u043e\u00a0\u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u043d\u0430\u00a0\u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u0430\u0442\u0430\u043a\u0438. \u0412\u00a0\u044d\u0442\u0438\u0445 \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u044f\u0445 \u0432\u043f\u0435\u0440\u0432\u044b\u0435 \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u043b\u043e\u0441\u044c, \u0447\u0442\u043e\u00a0\u0434\u043b\u044f\u00a0\u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0430\u0442\u0430\u043a \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u043c\u043e\u0436\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0441\u043e\u0431\u044b\u0442\u0438\u0435 Application Event ID 1316\u00a0(\u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435 \u043e\u00a0\u043d\u0451\u043c\u00a0\u2014 \u0434\u0430\u043b\u0435\u0435 \u0432\u00a0\u0442\u0435\u043a\u0441\u0442\u0435).<\/p>\n<\/li>\n<\/ul>\n<p>\u0418\u044e\u043b\u044c 2021\u00a0\u2014 \u044d\u043a\u0441\u043f\u0435\u0440\u0442\u044b SYGNIA \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u043e\u0442\u0447\u0435\u0442 \u043f\u043e\u00a0\u0430\u0442\u0430\u043a\u0435 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0438 Praying Mantis, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0430 4\u00a0\u0440\u0430\u0437\u043d\u044b\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438:<\/p>\n<ul>\n<li>\n<p>Checkbox Survey RCE Exploit (CVE-2021\u201327\u00a0852)\u00a0\u2014 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f \u043a\u0430\u0441\u0442\u043e\u043c\u043d\u043e\u0439 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE \u0434\u043b\u044f\u00a0reflective \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u0430 NodeIISWeb\u00a0\u2014 \u043e\u0447\u0435\u043d\u044c \u043f\u043e\u0445\u043e\u0436 \u043d\u0430\u00a0\u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a js_eval \u0438\u0437\u00a0\u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0439 \u0410\u0432\u0441\u0442\u0440\u0430\u043b\u0438\u0439\u0441\u043a\u043e\u0433\u043e \u0446\u0435\u043d\u0442\u0440\u0430 \u043a\u0438\u0431\u0435\u0440\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438;<\/p>\n<\/li>\n<li>\n<p>\u0414\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f VIEWSTATE \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0443\u043a\u0440\u0430\u0434\u0435\u043d\u043d\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439 IIS\u00a0\u2014 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0440\u0430\u0437 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u043b\u0438\u0441\u044c \u0432\u00a0\u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u044d\u0442\u0438\u043c \u043c\u0435\u0442\u043e\u0434\u043e\u043c, \u0438\u043c\u00a0\u0436\u0435 \u043e\u043d\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u0434\u043b\u044f\u00a0\u0433\u043e\u0440\u0438\u0437\u043e\u043d\u0442\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0435\u043d\u0438\u044f;<\/p>\n<\/li>\n<li>\n<p>\u0414\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f \u043e\u0431\u044a\u0435\u043a\u0442\u0430 \u0438\u0437\u00a0ASP.NET MSSQL \u0431\u0430\u0437\u044b\u00a0\u2014 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u043b\u0438 \u0432\u00a0MSSQL \u0431\u0430\u0437\u0443 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043e\u0431\u044a\u0435\u043a\u0442 \u0432\u00a0\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0432\u0438\u0434\u0435, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0434\u0430\u043b\u0435\u0435 \u0437\u0430\u043f\u0440\u0430\u0448\u0438\u0432\u0430\u043b \u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u044b\u0432\u0430\u043b IIS\u2011\u0441\u0435\u0440\u0432\u0435\u0440 \u043a\u043e\u0433\u0434\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u043b \u0437\u0430\u043f\u0440\u043e\u0441 \u0441\u043e \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u0441\u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c cookies. \u0412\u00a0\u044d\u0442\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0442\u0430\u043a\u0436\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441 NodeIISWeb;<\/p>\n<\/li>\n<li>\n<p>Telerik UI CVE-2019\u201318\u00a0935\u00a0\u2014 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432.NET JavaScriptSerializer. \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0434\u043b\u044f\u00a0\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0432\u0435\u0431\u2011\u0448\u0435\u043b\u043b\u043e\u0432.<\/p>\n<\/li>\n<\/ul>\n<p>\u0412\u044b\u0441\u043e\u043a\u0430 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e\u0441\u0442\u044c, \u0447\u0442\u043e\u00a0\u044d\u043a\u0441\u043f\u0435\u0440\u0442\u044b SYGNIA \u0438 ACSC \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0441\u00a0\u043e\u0434\u043d\u043e\u0439 \u0438 \u0442\u043e\u0439\u00a0\u0436\u0435 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u043e\u0439, \u0442\u0430\u043a \u043a\u0430\u043a\u00a0\u0431\u044b\u043b\u043e \u043c\u043d\u043e\u0433\u043e \u043f\u0435\u0440\u0435\u0441\u0435\u0447\u0435\u043d\u0438\u0439 \u043f\u043e\u00a0\u0442\u0430\u043a\u0442\u0438\u043a\u0430\u043c, \u0442\u0435\u0445\u043d\u0438\u043a\u0430\u043c \u0438 \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u0430\u043c.<\/p>\n<p>\u041c\u0430\u0440\u0442 2022\u00a0\u2014 \u044d\u043a\u0441\u043f\u0435\u0440\u0442\u044b Mandiant \u043f\u043e\u0434\u0435\u043b\u0438\u043b\u0438\u0441\u044c \u0431\u043e\u043b\u044c\u0448\u0438\u043c \u043d\u0430\u0431\u043e\u0440\u043e\u043c \u043a\u0435\u0439\u0441\u043e\u0432 \u0430\u0442\u0430\u043a \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0438 APT41, \u0432\u00a0\u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u0435 \u0438\u0437\u00a0\u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE:<\/p>\n<ul>\n<li>\n<p>\u0418\u044e\u043d\u044c 2020\u00a0\u2014 APT41, \u0447\u0435\u0440\u0435\u0437 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c directory traversal, \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438 \u0434\u043e\u0441\u0442\u0443\u043f \u043a\u00a0web.config \u0444\u0430\u0439\u043b\u0443 \u0441\u00a0\u043a\u043b\u044e\u0447\u0430\u043c\u0438 \u043f\u0440\u043e\u043f\u0440\u0438\u0435\u0442\u0430\u0440\u043d\u043e\u0433\u043e \u0432\u0435\u0431\u2011\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043d\u0430\u00a0ASP.NET. \u041a\u043b\u044e\u0447\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0438 \u0434\u043b\u044f\u00a0\u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 VIEWSTATE\u2011\u043d\u0430\u0433\u0440\u0443\u0437\u043e\u043a \u0438 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0441\u0431\u043e\u0440\u043e\u043a \u0432\u00a0\u043f\u0430\u043c\u044f\u0442\u044c. \u0421\u0431\u043e\u0440\u043a\u0438 \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u043b\u0438 \u0432\u0435\u0431\u2011\u0448\u0435\u043b\u043b\u044b \u043f\u043e\u00a0\u0437\u0430\u0440\u0430\u043d\u0435\u0435 \u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c \u043f\u0443\u0442\u044f\u043c \u043d\u0430\u00a0\u0444\u0430\u0439\u043b\u043e\u0432\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435. \u0422\u0430\u043a\u0436\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f \u0433\u0430\u0434\u0436\u0435\u0442 DisableActivitySurrogateSelectorTypeCheck \u0443\u0442\u0438\u043b\u0438\u0442\u044b ysoserial.net.<\/p>\n<\/li>\n<li>\n<p>\u041c\u0430\u0439 2021\u00a0\u2014 \u043a\u0430\u043a\u00a0\u0438 \u0432\u00a0\u0438\u044e\u043d\u0435 2020\u00a0\u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e VIEWSTATE \u0432\u00a0\u043f\u0440\u043e\u043f\u0440\u0438\u0435\u0442\u0430\u0440\u043d\u043e\u043c \u0432\u0435\u0431\u2011\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0438. \u041e\u0442\u043a\u0443\u0434\u0430\u00a0\u0431\u044b\u043b\u0438 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u044b \u043a\u043b\u044e\u0447\u0438 \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e (\u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0442\u0430\u043a\u0436\u0435 \u0447\u0435\u0440\u0435\u0437 directory traversal \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c).<\/p>\n<\/li>\n<li>\n<p>\u0418\u044e\u043d\u044c\u2011\u0434\u0435\u043a\u0430\u0431\u0440\u044c 2021\u00a0\u2014 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043d\u0443\u043b\u0435\u0432\u043e\u0433\u043e \u0434\u043d\u044f \u0432\u00a0ASP.NET \u0432\u0435\u0431\u2011\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0438 USAHERDS (\u0434\u0438\u0430\u0433\u043d\u043e\u0441\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u043e\u043f\u043e\u0432\u0435\u0449\u0435\u043d\u0438\u044f \u043e\u00a0\u0447\u0440\u0435\u0437\u0432\u044b\u0447\u0430\u0439\u043d\u044b\u0445 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f\u0445 \u0432\u00a0\u043e\u0431\u043b\u0430\u0441\u0442\u0438 \u043e\u0445\u0440\u0430\u043d\u044b \u0437\u0434\u043e\u0440\u043e\u0432\u044c\u044f \u0436\u0438\u0432\u043e\u0442\u043d\u044b\u0445) \u0434\u043b\u044f\u00a0\u0430\u0442\u0430\u043a\u0438 \u043d\u0430\u00a0\u043f\u0440\u0430\u0432\u0438\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0448\u0442\u0430\u0442\u043e\u0432 \u0432\u00a0\u0421\u0428\u0410. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u0430 CVE-2020\u20130688\u00a0(\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0441\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u043a\u043b\u044e\u0447\u0435\u0439). \u041f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e\u00a0\u043f\u0435\u0440\u0432\u043e\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u043a\u00a0\u043a\u043b\u044e\u0447\u0430\u043c\u00a0\u0431\u044b\u043b \u043f\u043e\u043b\u0443\u0447\u0435\u043d \u0442\u0430\u043a\u0436\u0435 \u0447\u0435\u0440\u0435\u0437 directory traversal \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c.<\/p>\n<\/li>\n<\/ul>\n<p>\u041c\u0430\u0440\u0442 2023\u00a0\u2014 \u0410\u0433\u0435\u043d\u0442\u0441\u0442\u0432\u043e \u043f\u043e\u00a0\u043a\u0438\u0431\u0435\u0440\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0438 \u0437\u0430\u0449\u0438\u0442\u0435 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b (CISA), \u0424\u0411\u0420 \u0438 MS\u2011ISAC \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u043d\u044b\u0435 \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0438 \u043f\u043e\u00a0\u043f\u0440\u043e\u0442\u0438\u0432\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044e \u0430\u0442\u0430\u043a\u0430\u043c \u0441\u00a0\u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438. \u0420\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u0438 \u0441\u043e\u0437\u0434\u0430\u043b\u0438 \u043d\u0430\u00a0\u043e\u0441\u043d\u043e\u0432\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0430\u0442\u0430\u043a \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043e\u043a, \u043f\u0440\u043e\u0438\u0437\u043e\u0448\u0435\u0434\u0448\u0438\u0445 \u0432\u00a0\u043d\u043e\u044f\u0431\u0440\u0435 2022\u00a0\u043d\u0430\u00a0\u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u043f\u0440\u0430\u0432\u0438\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0445 IIS\u2011\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432. \u0412\u00a0\u0430\u0442\u0430\u043a\u0430\u0445 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0430\u0441\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432\u00a0\u041f\u041e\u00a0Progress Telerik. <\/p>\n<p>\u041d\u043e\u044f\u0431\u0440\u044c 2023\u00a0\u2014 \u044d\u043a\u0441\u043f\u0435\u0440\u0442\u044b Solar 4RAYS \u0440\u0435\u0430\u0433\u0438\u0440\u0443\u044e\u0442 \u043d\u0430\u00a0\u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442 \u0432\u00a0\u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435 \u0442\u0435\u043b\u0435\u043a\u043e\u043c\u2011\u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u0433\u0434\u0435 \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u043e\u0432\u043a\u0430 Obstinate Mogwai \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u0443\u0435\u0442 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE \u0434\u043b\u044f\u00a0\u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e\u0433\u043e \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0435\u043d\u0438\u044f.<\/p>\n<\/div>\n<\/details>\n<h2>\u042d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u044f \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 VIEWSTATE \u0432 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0438 Obstinate Mogwai<\/h2>\n<p>\u0412 \u043a\u043e\u043d\u0446\u0435 2023\u00a0\u0433\u043e\u0434\u0430 \u0432\u00a0\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0435 \u0440\u0435\u0430\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u0430\u00a0\u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442 \u043c\u044b \u0441\u0442\u0430\u043b\u0438 \u0437\u0430\u043c\u0435\u0447\u0430\u0442\u044c \u043d\u0430\u00a0Exchange\u2011\u0441\u0435\u0440\u0432\u0435\u0440\u0430\u0445 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 powershell\u2011\u043a\u043e\u043c\u0430\u043d\u0434 \u043e\u0442\u00a0\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 w3wp\u00a0\u2014 worker\u2011\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 Exchange. \u041f\u0440\u0438\u0447\u0435\u043c \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b\u0438\u0441\u044c \u043e\u0442\u00a0\u0441\u0430\u043c\u043e\u0433\u043e \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 w3wp \u0431\u0435\u0437\u00a0\u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0434\u043e\u0447\u0435\u0440\u043d\u0438\u0445 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432 powershell.exe.<\/p>\n<p>\u041f\u0440\u0438\u043c\u0435\u0440\u044b \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0445 \u043a\u043e\u043c\u0430\u043d\u0434:<\/p>\n<pre><code class=\"powershell\">net user &lt;REDACTED> gci c:\\programdata\\ reg query HKEY_LOCAL_MACHINE\\system\\currentcontrolset\\control\\securityproviders\\wdigest \/v uselogoncredential Get-ItemProperty -Path HKLM:\\system\\currentcontrolset\\control\\securityproviders\\wdigest).uselogoncredential Get-ChildItem -Path \"c:\\programdata\" Get-ChildItem -Path \"c:\\users\" Remove-Item -Path \"c:\\programdata\\1.log\" Remove-Item -Path \"c:\\windows\\system\\l.txt\" Test-Connection -Count 1 -ComputerName &lt;REDACTED> Resolve-DnsName -Name &lt;REDACTED> Remove-Item -Path \"C:\\Program Files\\Microsoft\\Exchange Server\\V15\\FrontEnd\\HttpProxy\\owa\\auth\\Current\\themes\\resources\\frown.aspx\" Remove-Item -Path \"c:\\windows\\temp\\user.log\"<\/code><\/pre>\n<p>\u0421 \u043f\u043e\u043c\u043e\u0449\u044c\u044e powershell-\u043a\u043e\u043c\u0430\u043d\u0434 \u043d\u0430 Exchange-\u0441\u0435\u0440\u0432\u0435\u0440 \u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043b\u0438\u0441\u044c \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0445 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, powershell-\u0441\u043a\u0440\u0438\u043f\u0442 <a href=\"https:\/\/github.com\/Kevin-Robertson\/Invoke-TheHash\/tree\/master?tab=readme-ov-file#invoke-smbclient\">Invoke-SMBClie<\/a><\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-376341","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/376341","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=376341"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/376341\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=376341"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=376341"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=376341"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}