搜索

[4158] 2017-08-11_.NET编码库存在严重的反序列化漏洞

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-16
2017-08-11_.NET编码库存在严重的反序列化漏洞 . N E T 编 码 库 存 在 严 重 的 反 序 列 化 漏 洞 原 创   E 安 全 编 辑 部   E 安 全   2 0 1 7 - 0 8 - 1 1 关 注 E 安 全   关 注 网 络 安 全 一 手 资 讯 E 安 全 8 月 1 1 日 讯     据 报 道 ， . N E T 编 码 库 存 在 反 序 列 化 （ D e s e r i a l i z a t i o n ） 漏 洞 ， 会 让 攻 击 者 在 处 理 反 序 列 化 数 据 的 服 务 器 和 计 算 机 上 执 行 代 码 ， 从 而 影 响 . N E T 生 态 系 统 。 何 为 序 列 化 和 反 序 列 化 ？ 何 为 序 列 化 和 反 序 列 化 ？ 序 列 化 （ S e r i a l i z a t i o n ） 是 将 对 象 转 换 成 字 节 流 的 过 程 ， 以 存 储 对 象 或 将 对 象 传 输 至 内 存 、 数 据 库 或 文 件 。 序 列 化 的 主 要 目 的 在 于 保 存 对 象 的 状 态 ， 以 便 能 在 需 要 时 重 新 创 建 对 象 ， 而 逆 向 过 程 就 被 称 为 反 序 列 化 （ D e s e r i a l i z a t i o n ） 。 2 0 1 5 年 和 年 和 2 0 1 6 年 年   “ J a v a 末 日 末 日 ” （ （ J a v a   A p o c a l y p s e ） ） 通 过 反 序 列 化 操 作 实 施 攻 击 自 2 0 1 1 年 就 已 为 人 所 知 ， 但 这 类 攻 击 2 0 1 5 年 初 成 为 困 扰 每 个 人 的 问 题 ， 当 时 两 名 研 究 人 员 （ 克 里 斯 ž 弗 洛 霍 夫 和 加 布 里 埃 尔 ž 劳 伦 斯 ） 发 现 一 款 相 当 热 门 的 J a v a 应 用 程 序 - - - A p a c h e   C o m m o n s   C o l l e c t i o n 中 存 在 反 序 列 化 漏 洞 。 F o x g l o v e   S e c u r i t y 的 研 究 人 员 于 2 0 1 5 年 底 详 细 阐 述 了 此 类 攻 击 的 最 初 攻 击 模 式 ， 展 示 了 攻 击 者 如 何 使 用 J a v a 应 用 程 序 （ 开 发 人 员 正 确 使 用 A p a c h e   C o m m o n s   C o l l e c t i o n 库 处 理 反 序 列 化 操 作 的 应 用 程 序 ） 中 的 反 序 列 化 漏 洞 。 研 究 人 员 的 实 验 表 明 ， 攻 击 者 可 以 在 热 门 J a v a 中 间 件 （ 例 如 W e b L o g i c 、 W e b S p h e r e 、 J B o s s 、 J e n k i n s 和 O p e n N M S ） 内 上 传 恶 意 数 据 。 恶 意 数 据 会 被 序 列 化 并 存 储 在 数 据 库 或 内 存 中 ， 但 当 应 用 程 序 将 数 据 反 序 列 化 时 ， 中 间 件 还 将 执 行 被 感 染 系 统 上 的 其 它 恶 意 代 码 。 该 漏 洞 2 0 1 6 年 掀 起 J a v a 生 态 系 统 大 波 澜 ， 因 为 此 漏 洞 还 影 响 了 7 0 个 其 它 的 J a v a 库 ， 甚 至 被 用 来 感 染 P a y P a l 服 务 器 。 包 括 A p a c h e 、 O r a c l e 、 C i s c o 、 R e d   H a t 、   J e n k i n s 、 V M W a r e 、 I B M 、 I n t e l 、 A d o b e 、 H P 和 S o l a r W i n d s 在 内 的 公 司 均 发 布 了 产 品 安 全 补 丁 。 这 个 J a v a 反 序 列 化 漏 洞 相 当 危 险 ， 以 至 G o o g l e 工 程 师 利 用 自 由 时 间 修 复 开 源 J a v a 库 ， 并 限 制 漏 洞 的 企 及 范 围 ， 修 复 了 2 6 0 0 多 个 项 目 。 在 G o o g l e 内 部 ， 该 漏 洞 被 称 为 “ 疯 狂 工 具 ” （ M a d   G a d g e t ） ， 而 业 界 将 其 称 之 为 “ J a v a 末 日 ” （ J a v a   A p o c a l y p s e ） 反 序 列 化 漏 洞 也 会 影 响 反 序 列 化 漏 洞 也 会 影 响 . N E T 应 用 程 序 应 用 程 序 如 今 ， 惠 普 （ H P ） 软 件 安 全 研 究 人 员 阿 尔 瓦 罗 ž 穆 尼 奥 斯 和 亚 科 文 科 · 麦 罗 西 在 一 份 新 研 究 中 披 露 ， 类 似 的 反 序 列 化 漏 洞 也 会 影 响 . N E T 生 态
系 统 。 . N E T 应 用 程 序 中 存 在 的 反 序 列 化 漏 洞 允 许 攻 击 者 偷 偷 溜 进 目 标 设 备 执 行 代 码 。 与 J a v a 类 似 ， 某 些 . N E T 库 未 受 该 漏 洞 影 响 。 使 用 受 影 响 . N E T 库 的 应 用 程 序 是 安 全 的 ， 因 为 程 序 员 视 序 列 化 的 数 据 为 不 安 全 因 素 ， 不 允 许 访 问 特 定 功 能 和 方 法 。 穆 尼 奥 斯 和 麦 罗 西 着 重 分 析 使 用 J S O N 数 据 的 . N E T 和 J a v a 库 。 研 究 人 员 还 在 研 究 论 文 中 评 价 了 分 析 的 所 有 . N E T 和 J a v a 应 用 程 序 ， 并 提 到 哪 些 应 用 程 序 是 安 全 的 ， 并 建 议 开 发 人 员 使 用 J S O N 数 据 时 用 相 对 安 全 的 应 用 程 序 避 免 反 序 列 化 攻 击 （ 参 见 文 末 链 接 了 解 详 情 ） 。 热 门 热 门 . N E T 项 目 中 存 在 反 序 列 化 漏 洞 项 目 中 存 在 反 序 列 化 漏 洞 为 了 说 明 该 漏 洞 可 能 会 影 响 真 实 存 在 的 应 用 程 序 ， 而 不 仅 仅 是 理 论 威 胁 ， 研 究 人 员 在 . N E T 数 据 管 理 后 端 框 架 B r e e z e 中 发 现 一 个 J S O N 反 序 列 化 漏 洞 （ C V E - 2 0 1 7 - 9 4 2 4 ） ； 此 外 ， 还 在 基 于   R u b y ' s   S i n a t r a 的 网 络 框 架 N a n c y F X 中 发 现 J S O N 反 序 列 化 漏 洞 （ C V E - 2 0 1 7 - 9 7 8 5 ） 。 除 了 J S O N 反 序 列 化 漏 洞 ， 其 它 处 理 X M L 数 据 对 象 的 库 也 存 在 这 类 漏 洞 。 研 究 人 员 还 发 现 如 今 最 常 用 的 . N E T   C M S - - -   D o t N e t N u k e 中 存 在 X M L 反 序 列 化 漏 洞 。 上 述 这 些 漏 洞 反 映 了 . N E T 库 中 存 在 的 漏 洞 以 及 开 发 人 员 的 不 良 编 码 习 惯 ， 开 发 人 员 并 未 认 识 到 ， 默 认 序 列 化 数 据 并 不 一 定 安 全 。 要 解 决 该 漏 洞 ， 须 改 进 许 多 . N E T 库 的 安 全 性 ， 同 时 还 需 普 通 程 序 员 提 高 意 识 。 研 究 人 员 表 示 ， 序 列 化 器 （ S e r i a l i z e r ） 是 对 安 全 性 要 求 特 别 高 的 A P I ， 不 应 与 不 受 信 任 的 数 据 一 起 使 用 。 这 不 是 J a v a 序 列 化 、 特 定 . N E T 格 式 化 程 序 或 任 何 特 定 格 式 （ 例 如 J S O N 、 X M L 或 B i n a r y ） 的 特 定 问 题 。 所 有 序 列 化 器 需 重 建 对 象 ， 通 常 会 调 用 攻 击 者 试 图 滥 用 以 启 动 工 具 链 执 行 任 意 代 码 的 方 法 。 研 究 人 员 建 议 使 用 的 . N E T 应 用 程 序 见 ： h t t p s : / / w w w . b l a c k h a t . c o m / d o c s / u s - 1 7 / t h u r s d a y / u s - 1 7 - M u n o z - F r i d a y - T h e - 1 3 t h - J S O N - A t t a c k s - w p . p d f # p a g e = 5   1 1 E 安 全 推 荐 文 章 安 全 推 荐 文 章 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 8 月 月   0 1 漏 洞 预 警 ： P H P   7 的 反 序 列 化 机 制 存 在 致 命 安 全 漏 洞 0 2 西 门 子 医 疗 扫 描 仪 存 在 多 项 漏 洞 可 被 远 程 利 用 0 3 黑 客 将 利 用 C A N 总 线 漏 洞 D o s 攻 击 你 的 汽 车   [ 附 下 载 地 址 ] 0 4 德 国 S M A 太 阳 能 电 池 板 逆 变 器 漏 洞 严 重 威 胁 欧 洲 电 网 0 5 美 司 法 部 发 布 《 在 线 系 统 漏 洞 披 露 计 划 框 架 》 0 6 三 菱 电 机 E - D e s i g n e r 引 擎 被 曝 高 危 漏 洞
0 7 宝 马 、 福 特 、 英 菲 尼 迪 和 尼 桑 车 主 要 小 心 T C U 漏 洞 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理