搜索

[2094] 2019-03-13_.NET高级代码审计（第三课）Fastjson反序列化漏洞

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2019-03-13_.NET高级代码审计（第三课）Fastjson反序列化漏洞 . N E T 高 级 代 码 审 计 （ 第 三 课 ） F a s t j s o n 反 序 列 化 漏 洞 原 创   I v a n 1 e e   d o t N e t 安 全 研 究 僧   2 0 1 9 - 0 3 - 1 3 0 X 0 0   前 言 前 言 J a v a 中 的 F a s t j s o n 曾 经 爆 出 了 多 个 反 序 列 化 漏 洞 和 B y p a s s 版 本 ， 而 在 . N e t 领 域 也 有 一 个 F a s t j s o n 的 库 ， 作 者 官 宣 这 是 一 个 读 写 J s o n 效 率 最 高 的 的 . N e t   组 件 ， 使 用 内 置 方 法 J S O N . T o J S O N 可 以 快 速 序 列 化 . N e t 对 象 。 让 你 轻 松 实 现 . N e t 中 所 有 类 型 ( 对 象 , 基 本 数 据 类 型 等 ) 和 J s o n 之 间 的 转 换 ， f a s t j s o n 是 一 个 开 源 的 J s o n . N e t 库 ， 下 载 地 址   h t t p : / / w w w . c o d e p r o j e c t . c o m / A r t i c l e s / 1 5 9 4 5 0 / f a s t J S O N ， 反 序 列 过 程 中 详 细 的 性 能 对 比 如 下 从 图 上 得 出 和 老 牌 J s o n . N e t 、 S t a c k 等 比 起 来 速 度 和 性 能 优 势 非 常 明 显 ， 究 其 原 因 组 件 的 作 者 利 用 反 射 生 成 了 大 量 的 I L 代 码 ， 而 I L 代 码 是 托 管 代 码 ， 可 以 直 接 给 运 行 库 编 译 所 以 性 能 就 此 大 大 提 升 。 但 在 某 些 场 景 下 开 发 者 使 用 J S O N . T o O b j e c t 方 法 序 列 化 不 安 全 的 数 据 时 候 会 造 成 反 序 列 化 漏 洞 从 而 实 现 远 程 R C E 攻 击 ， 本 文 笔 者 从 原 理 和 代 码 审 计 的 视 角 做 了 相 关 介 绍 和 复 现 。 0 X 0 1   F a s t j s o n 序 列 化 序 列 化 使 用 J S O N . T o J S O N 可 以 非 常 方 便 的 实 现 . N E T 对 象 与 J s o n 数 据 之 间 的 转 化 ， T o J S O N 首 先 会 得 到 对 象 名 称 所 在 的 程 序 集 全 限 定 名 ， 并 且 作 为 $ t y p e s 这 个 k e y 的 值 ， 再 将 对 象 的 成 员 属 性 名 转 化 为 J s o n 数 据 中 的 K e y ， 把 对 象 的 成 员 属 性 值 转 化 为 J s o n 数 据 中 的 v a l u e ， 下 面 通 过 一 个 实 例 来 说 明 问 题 ， 首 先 定 义 T e s t C l a s s 对 象 定 义 了 三 个 成 员 ， 并 实 现 了 一 个 静 态 方 法 C l a s s M e t h o d 启 动 进 程 。   序 列 化 通 过 创 建 对 象 实 例 分 别 给 成 员 赋 值
笔 者 为 了 尽 量 保 证 序 列 化 过 程 不 抛 出 异 常 ， 所 以 引 入 了   J S O N . T o J S O N 方 法 的 第 二 个 参 数 并 实 例 化 创 建 J S O N P a r a m e t e r s ， 它 的 字 段 中 有 很 多 类 型 是 布 尔 值 ， 和 反 序 列 化 漏 洞 相 关 的 字 段 为 U s e E x t e n s i o n s   ， 将 它 设 置 为 t r u e 可 得 到 类 的 全 限 定 名 ， 如 果 不 需 要 序 列 化 空 值 的 时 可 将 另 一 个 字 段 S e r i a l i z e N u l l V a l u e s 设 为 f a l s e ; 笔 者 使 用 J S O N . T o J S O N 后 得 到 序 列 化 的 J s o n 数 据 0 x 0 2   F a s t j s o n 反 序 列 化 反 序 列 化 2 . 1 、 反 序 列 化 用 法 反 序 列 过 程 就 是 将 J s o n 数 据 转 换 为 对 象 ， F a s t j s o n 通 过 创 建 一 个 新 对 象 的 方 式 调 用 J S O N . T o O b j e c t 方 法 实 现 的 ， T o O b j e c t 有 多 个 重 载 方 法 ， 当
传 入 两 个 参 数 ， 第 一 个 参 数 需 要 被 序 列 化 的 数 据 、 第 二 个 参 数 设 置 序 列 化 配 置 选 项 来 指 定 J S O N P a r a m e t e r s 按 照 指 定 的 属 性 值 处 理 ， 重 载 方 法 参 考 下 图 具 体 代 码 可 参 考 以 下 D e m o 2 . 2 、 打 造 、 打 造 P o c 漏 洞 的 触 发 点 也 是 在 于 被 序 列 化 的 J s o n 中 的 $ t y p e s 是 否 可 控 ， 为 此 官 方 文 档 里 也 标 注 了 警 告 。 笔 者 继 续 选 择 O b j e c t D a t a P r o v i d e r 类 方 便 调 用 任 意 被 引 用 类 中 的 方 法 ， 具 体 有 关 此 类 的 用 法 可 以 看 一 下 《 . N E T 高 级 代 码 审 计 （ 第 一 课 ） X m l S e r i a l i z e r 反 序 列 化 漏 洞 》 ， 因 为 P r o c e s s . S t a r t 方 法 启 动 一 个 线 程 需 要 配 置 P r o c e s s S t a r t I n f o 类 相 关 的 属 性 ， 例 如 指 定 文 件 名 、 指 定 启 动 参 数 ， 所 以 首 先 得 考 虑 序 列 化 P r o c e s s S t a r t I n f o ， 如 下 代 码 D e m o 一 步 步 来 看 ， 开 始 从 G e t T y p e 获 取 当 前 类 的 实 例 ， 返 回 T y p e 类 型 变 量 t 3 ； 然 后 通 过 T y p e . G e t P r o p e r t y 方 法 找 到 指 定 为 F i l e N a m e 的 公 共 属 性 并 赋 值 给 P r o p e r t y I n f o 类 型 的 变 量 p r o p e r t y N a m e ； 再 使 用 P r o p e r t y I n f o . S e t V a l u e 方 法 设 置 对 象 的 指 定 属 性 值 “ c m d . e x e “ ， 同 理 为 A r g u m e n t s 属 性 指 定 值 。 下 一 步 再 来 序 列 化 P r o c e s s 类 ， 并 调 用 S t a r t I n f o 启 动 程 序 ， D e m o 如 下 然 后 需 要 对 其 做 减 法 ， 去 掉 无 关 的 S y s t e m . R u n t i m e T y p e 、 S y s t e m . I n t P t r 数 据 ， 最 终 得 到 反 序 列 化 P a y l o a d
F a s t J s o n 定 义 的 J S O N 类 定 义 了 多 个 T o O b j e c t 重 载 方 法 ， 对 于 反 序 列 化 漏 洞 无 需 关 心 重 载 的 方 法 参 数 是 一 个 还 是 多 个 ， 它 们 都 可 以 触 发 漏 洞 笔 者 通 过 下 面 的 D e m o   ，   J S O N . T o O b j e c t ( p a y l o a d ) 反 序 列 化 成 功 弹 出 计 算 器 0 x 0 3   代 码 审 计 视 角 代 码 审 计 视 角 从 代 码 审 计 的 角 度 很 容 易 找 到 漏 洞 的 污 染 点 ， 通 过 前 面 几 个 小 节 的 知 识 能 发 现 需 要 满 足 一 个 关 键 条 件 J S O N . T o O b j e c t 传 入 S t r i n g 或 者 O b j e c t 就 可 以 被 反 序 列 化 ， 例 如 以 下 J S O N S e r i a l i z e r 类
攻 击 者 控 制 传 入 字 符 串 参 数 j s o n 便 可 轻 松 实 现 反 序 列 化 漏 洞 攻 击 。 G i t h u b 上 也 存 在 大 量 的 不 安 全 案 例 代 码 ， 如 下 0 x 0 4   案 例 复 盘 案 例 复 盘 最 后 再 通 过 下 面 案 例 来 复 盘 整 个 过 程 ， 全 程 展 示 在 V S 里 调 试 里 通 过 反 序 列 化 漏 洞 弹 出 计 算 器 。 1 .         输 入 h t t p : / / l o c a l h o s t : 5 6 5 1 / D e f a u l t   P o s t 加 载 v a l u e 值 2 .           通 过 T o O b j e c t   反 序 列 化   ， 并 弹 出 计 算 器
最 后 附 个 动 态 图 最 后 附 个 动 态 图 0 x 0 5   总 结 总 结 F a s t j s o n 凭 借 速 度 和 性 能 上 的 优 势 占 得 一 席 之 地 ， 但 随 着 n e w t o n s o f t . J s o n 的 主 流 化 ， 性 能 上 已 经 逐 渐 赶 超 了 F a s t j s o n ， 也 使 得 F a s t j s o n 越 来 越 小 众 化 ， 对 于 攻 击 者 来 说 ， 利 用 成 本 很 低 ， 在 代 码 审 计 配 合 的 情 况 下 这 种 安 全 问 题 越 发 的 严 重 起 来 ， 若 提 交 恶 意 的 污 染 数 据 ， 便 可 水 到 渠 成 的 反 序 列 化 成 功 拿 下 目 标 ， 最 后 . N E T 反 序 列 化 系 列 课 程 笔 者 会 同 步 到   h t t p s : / / g i t h u b . c o m / I v a n 1 e e / 、 h t t p s : / / i v a n 1 e e . g i t b o o k . i o / ， 后 续 笔 者 将 陆 续 推 出 高 质 量 的 . N E T 反 序 列 化 漏 洞 文 章 ， 欢 迎 大 伙 持 续 关 注 ， 交 流 ， 更 多 的 . N E T 安 全 和 技 巧 可 关 注 实 验 室 公 众 号 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理