viewstate decoder

简介

VIEWSTATE 模块和解码器是从 https://github.com/yuvadm/viewstate.git 复制的，所有荣誉都归于 yuvadm。

我刚刚编写了一个小工具，可以轻松解码 ASP.NET __VIEWSTATE变量，而无需使用管理权限将 viewstate 模块安装到系统中，并且能够使用终端使用小脚本解码变量，而无需编写 python 代码。

有时，在对 ASP Web 应用程序进行 webpentesting 时，这样的工具非常有用。

用法

 $ ./decoder.py "/wEPDwUKMTU5MTA2ODYwOWRkoCvvBWgUOH7PD446qvEOF6GTCq0="
** ASP.NET __VIEWSTATE decoder **

[*] Decoding __VIEWSTATE:
/wEPDwUKMTU5MTA2ODYwOWRkoCvvBWgUOH7PD446qvEOF6GTCq0=
(('1591068609', None), None)

防御

为了防止这种攻击，请在machine.config文件中将EnableViewStateMac属性设置为True 。要加密，请将属性validation转为3DES 。

免责声明

在允许您攻击的环境中使用时，您需要自行承担风险。

~ (c) 防御黑客