搜索

[2095] 2019-03-20_.NET高级代码审计（第四课）JavaScriptSerializer反序列化漏洞

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2019-03-20_.NET高级代码审计（第四课）JavaScriptSerializer反序列化漏洞 . N E T 高 级 代 码 审 计 （ 第 四 课 ）   J a v a S c r i p t S e r i a l i z e r 反 序 列 化 漏 洞 I v a n 1 e e   d o t N e t 安 全 研 究 僧   2 0 1 9 - 0 3 - 2 0 0 X 0 0   前 言 前 言 在 . N E T 处 理   A j a x 应 用 的 时 候 ， 通 常 序 列 化 功 能 由 J a v a S c r i p t S e r i a l i z e r 类 提 供 ， 它 是 . N E T 2 . 0 之 后 内 部 实 现 的 序 列 化 功 能 的 类 ， 位 于 命 名 空 间 S y s t e m . W e b . S c r i p t . S e r i a l i z a t i o n 、 通 过 S y s t e m . W e b . E x t e n s i o n s 引 用 ， 让 开 发 者 轻 松 实 现 . N e t 中 所 有 类 型 和 J s o n 数 据 之 间 的 转 换 ， 但 在 某 些 场 景 下 开 发 者 使 用 D e s e r i a l i z e   或 或 D e s e r i a l i z e O b j e c t 方 法 处 理 不 安 全 的 J s o n 数 据 时 会 造 成 反 序 列 化 攻 击 从 而 实 现 远 程 R C E 漏 洞 ， 本 文 笔 者 从 原 理 和 代 码 审 计 的 视 角 做 了 相 关 介 绍 和 复 现 。 0 X 0 1   J a v a S c r i p t S e r i a l i z e r 序 列 化 序 列 化 下 面 先 来 看 这 个 系 列 课 程 中 经 典 的 一 段 代 码 ： T e s t C l a s s 类 定 义 了 三 个 成 员 ， 并 实 现 了 一 个 静 态 方 法 C l a s s M e t h o d 启 动 进 程 。 序 列 化 通 过 创 建 对 象 实 例 分 别 给 成 员 赋 值
使 用 J a v a S c r i p t S e r i a l i z e r 类 中 的 S e r i a l i z e 方 法 非 常 方 便 的 实 现 . N E T 对 象 与 J s o n 数 据 之 间 的 转 化 ， 笔 者 定 义 T e s t C l a s s 对 象 ， 常 规 下 使 用 S e r i a l i z e 得 到 序 列 化 后 的 J s o n 从 之 前 介 绍 过 其 它 组 件 反 序 列 化 漏 洞 原 理 得 知 需 要 _ _ t y p e 这 个 K e y 的 值 ， 要 得 到 这 个 V a l u e 就 必 须 得 到 程 序 集 全 标 识 （ 包 括 程 序 集 名 称 、 版 本 、 语 言 文 化 和 公 钥 ） ， 那 么 在 J a v a S c r i p t S e r i a l i z e r 中 可 以 通 过 实 例 化 S i m p l e T y p e R e s o l v e r 类 ， 作 用 是 为 托 管 类 型 提 供 类 型 解 析 器 ， 可 在 序 列 化 字 符 串 中 自 定 义 类 型 的 元 数 据 程 序 集 限 定 名 称 。 笔 者 将 代 码 改 写 添 加 类 型 解 析 器 这 次 序 列 化 输 出 程 序 集 的 完 整 标 识 ， 如 下 0 x 0 2   J a v a S c r i p t S e r i a l i z e r 反 序 列 化 反 序 列 化 2 . 1 、 反 序 列 化 用 法 、 反 序 列 化 用 法 反 序 列 化 过 程 就 是 将 J s o n 数 据 转 换 为 对 象 ， 在 J a v a S c r i p t S e r i a l i z e r 类 中 创 建 对 象 然 后 调 用 D e s e r i a l i z e O b j e c t 或 D e s e r i a l i z e 方 法 实 现 的 D e s e r i a l i z e O b j e c t 方 法 只 是 在 D e s e r i a l i z e 方 法 上 做 了 一 层 功 能 封 装 ， 重 点 来 看 D e s e r i a l i z e 方 法 ， 代 码 中 通 过 J a v a S c r i p t O b j e c t D e s e r i a l i z e r . B a s i c D e s e r i a l i z e 方 法 返 回 o b j e c t 对 象
在 B a s i c D e s e r i a l i z e 内 部 又 调 用 了 D e s e r i a l i z e I n t e r n a l 方 法 ， 当 需 要 转 换 为 对 象 的 时 候 会 判 断 字 典 集 合 中 是 否 包 含 了 S e r v e r T y p e F i e l d N a m e 常 量 的 K e y ， S e r v e r T y p e F i e l d N a m e 常 量 在 J a v a S c r i p t S e r i a l i z e r 类 中 定 义 的 值 为 “ _ _ t y p e ” 剥 茧 抽 丝 ， 忽 略 掉 非 核 心 方 法 块 C o n v e r t O b j e c t T o T y p e 、 C o n v e r t O b j e c t T o T y p e M a i n   、 C o n v e r t O b j e c t T o T y p e I n t e r n a l ， 最 后 定 位 到 C o n v e r t D i c t i o n a r y T o O b j e c t 方 法 内 这 段 代 码 首 先 判 断 S e r v e r T y p e F i e l d N a m e 存 在 值 的 话 就 输 出 赋 值 给 对 象 s ， 第 二 步 将 对 象 s 强 制 转 换 为 字 符 串 变 量 s e r v e r T y p e N a m e ， 第 三 步 获 取 解 析 器 中 的 实 际 类 型 ， 并 且 通 过 S y s t e m . A c t i v a t o r 的 C r e a t e I n s t a n c e 构 造 类 型 的 实 例 A c t i v a t o r 类 提 供 了 静 态 C r e a t e I n s t a n c e 方 法 的 几 个 重 载 版 本 ， 调 用 方 法 的 时 候 既 可 以 传 递 一 个 T y p e 对 象 引 用 ， 也 可 以 传 递 标 识 了 类 型 的 S t r i n g ， 方 法 返 回 对 新 对 象 的 引 用 。 下 图 D e m o 展 示 了 序 列 化 和 反 序 列 化 前 后 的 效 果 ：
反 序 列 化 后 得 到 对 象 的 属 性 ， 打 印 输 出 当 前 的 成 员 N a m e 的 值 2 . 2 、 打 造 、 打 造 P o c 默 认 情 况 下 J a v a S c r i p t S e r i a l i z e r 不 会 使 用 类 型 解 析 器 ， 所 以 它 是 一 个 安 全 的 序 列 化 处 理 类 ， 漏 洞 的 触 发 点 也 是 在 于 初 始 化 J a v a S c r i p t S e r i a l i z e r 类 的 实 例 的 时 候 是 否 创 建 了 S i m p l e T y p e R e s o l v e r 类 ， 如 果 创 建 了 ， 并 且 反 序 列 化 的 J s o n 数 据 在 可 控 的 情 况 下 就 可 以 触 发 反 序 列 化 漏 洞 ， 借 图 来 说 明 调 用 链 过 程 笔 者 还 是 选 择 O b j e c t D a t a P r o v i d e r 类 方 便 调 用 任 意 被 引 用 类 中 的 方 法 ， 具 体 有 关 此 类 的 用 法 可 以 看 一 下 《 《 . N E T 高 级 代 码 审 计 （ 第 一 课 ） 高 级 代 码 审 计 （ 第 一 课 ） X m l S e r i a l i z e r 反 序 列 化 漏 洞 》 反 序 列 化 漏 洞 》 ， 因 为 P r o c e s s . S t a r t 方 法 启 动 一 个 线 程 需 要 配 置 P r o c e s s S t a r t I n f o 类 相 关 的 属 性 ， 例 如 指 定 文 件 名 、 指 定 启 动 参 数 ， 所 以 首 先 得 考 虑 序 列 化 P r o c e s s S t a r t I n f o ， 这 块 可 参 考 《 《 . N E T 高 级 代 码 审 计 （ 第 三 课 ） 高 级 代 码 审 计 （ 第 三 课 ）   F a s t j s o n 反 序 列 化 漏 洞 》 反 序 列 化 漏 洞 》   ， 之 后 对 生 成 的 数 据 做 减 法 ， 去 掉 无 关 的 S y s t e m . R u n t i m e T y p e 、 S y s t e m . I n t P t r 数 据 ， 最 终 得 到 反 序 列 化 P o c
笔 者 编 写 了 触 发 代 码 ， 用 D e s e r i a l i z e < O b j e c t > 反 序 列 化 J s o n 成 功 弹 出 计 算 器 。
0 x 0 3 代 码 审 计 视 角 代 码 审 计 视 角 3 . 1 、 、 D e s e r i a l i z e 从 代 码 审 计 的 角 度 其 实 很 容 易 找 到 漏 洞 的 污 染 点 ， 通 过 前 面 几 个 小 节 的 知 识 能 发 现 需 要 满 足 一 个 关 键 条 件 n e w   S i m p l e T y p e R e s o l v e r ( )   ， 再 传 入 J s o n 数 据 ， 就 可 被 反 序 列 化 ， 例 如 下 面 的 J s o n H e l p e r 类 攻 击 者 只 需 要 控 制 传 入 字 符 串 参 数 i n p u t 便 可 轻 松 实 现 反 序 列 化 漏 洞 攻 击 。 G i t h u b 上 也 存 在 大 量 的 不 安 全 案 例 代 码 3 . 2 、 、 D e s e r i a l i z e O b j e c t J a v a S c r i p t S e r i a l i z e r 还 有 一 个 反 序 列 化 方 法 D e s e r i a l i z e O b j e c t ， 这 个 方 法 同 样 可 以 触 发 漏 洞 ， 具 体 污 染 代 码 如 下 0 x 0 4   案 例 复 盘 案 例 复 盘 最 后 再 通 过 下 面 案 例 来 复 盘 整 个 过 程 ， 全 程 展 示 在 V S 里 调 试 里 通 过 反 序 列 化 漏 洞 弹 出 计 算 器 。 1 .         输 入 h t t p : / / l o c a l h o s t : 5 6 5 1 / D e f a u l t   P o s t 加 载 v a l u e 值
2 .         通 过 D e s e r i a l i z e O b j e c t 反 序 列 化 ， 并 弹 出 计 算 器 最 后 附 上 动 态 效 果 图 最 后 附 上 动 态 效 果 图 0 x 0 5 总 结 总 结 J a v a S c r i p t S e r i a l i z e r 凭 借 微 软 自 身 提 供 的 优 势 ， 在 实 际 开 发 中 使 用 率 还 是 比 较 高 的 ， 只 要 没 有 使 用 类 型 解 析 器 或 者 将 类 型 解 析 器 配 置 为 白 名 单 中 的 有 效 类 型 就 可 以 防 止 反 序 列 化 攻 击 （ 默 认 就 是 安 全 的 序 列 化 器 ） ， 对 于 攻 击 者 来 说 实 际 场 景 下 估 计 利 用 概 率 不 算 高 ， 毕 竟 很 多 开 发 者 不 会 使 用 S i m p l e T y p e R e s o l v e r 类 去 处 理 数 据 。 最 后 . N E T 反 序 列 化 系 列 课 程 笔 者 会 同 步 到 h t t p s : / / g i t h u b . c o m / I v a n 1 e e / 、 h t t p s : / / i v a n 1 e e . g i t b o o k . i o / ， 后
续 笔 者 将 陆 续 推 出 高 质 量 的 . N E T 反 序 列 化 漏 洞 文 章 ， 欢 迎 大 伙 持 续 关 注 ， 交 流 ， 更 多 的 . N E T 安 全 和 技 巧 可 关 注 实 验 室 公 众 号 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理