搜索

[2096] 2019-03-26_.NET高级代码审计（第五课）.NETRemoting反序列化漏洞

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2019-03-26_.NET高级代码审计（第五课）.NETRemoting反序列化漏洞 . N E T 高 级 代 码 审 计 （ 第 五 课 ）   . N E T   R e m o t i n g 反 序 列 化 漏 洞 原 创   I v a n 1 e e   d o t N e t 安 全 研 究 僧   2 0 1 9 - 0 3 - 2 6 0 x 0 0   前 言 前 言 最 近 几 天 国 外 安 全 研 究 员 S o r o u s h   D a l i l i ( @ i r s d l ) 公 布 了 . N E T   R e m o t i n g 应 用 程 序 可 能 存 在 反 序 列 化 安 全 风 险 ， 当 服 务 端 使 用 H T T P 信 道 中 的 S o a p S e r v e r F o r m a t t e r S i n k P r o v i d e r 类 作 为 信 道 接 收 器 并 且 将 自 动 反 序 列 化 T y p e F i l t e r L e v e l 属 性 设 置 为 F u l l 的 时 候 会 造 成 反 序 列 化 漏 洞 ， 从 而 实 现 远 程 R C E 攻 击 ， 本 文 笔 者 从 原 理 和 代 码 审 计 的 视 角 做 了 相 关 介 绍 和 复 现 ， 并 且 归 纳 成 . N E T 反 序 列 化 漏 洞 系 列 课 程 中 的 第 五 课 。 0 x 0 1   . N E T R e m o t i n g 概 念 概 念 . N E T   R e m o t i n g 是 一 种 分 布 式 应 用 解 决 方 案 ， 它 允 许 不 同 A p p D o m a i n （ 应 用 程 序 域 ） （ 应 用 程 序 域 ） 之 间 进 行 通 信 ， 这 里 的 通 信 可 以 是 在 同 一 个 进 程 中 进 行 或 者 一 个 系 统 中 的 不 同 进 程 间 进 行 的 通 信 。 . N E T   R e m o t i n g 框 架 也 提 供 了 多 种 服 务 ， 包 括 激 活 和 生 存 期 支 持 ， 以 及 负 责 与 远 程 应 用 程 序 进 行 消 息 传 输 的 通 道 。 应 用 程 序 可 在 重 视 性 能 的 场 景 下 使 用 二 进 制 数 据 传 输 ， 在 需 要 与 其 他 远 程 处 理 框 架 进 行 交 互 的 场 景 下 使 用   X M L   数 据 传 输 。 在 从 一 个 A p p D o m a i n 向 另 一 个 A p p D o m a i n 传 输 消 息 时 ， 所 有 的 X M L 数 据 都 使 用   S O A P   协 议 ， 总 体 看 . N E T   R e m o t i n g 有 以 下 三 点 优 势 ： 0 x 0 2   . N E T R e m o t i n g 信 道 和 协 议 信 道 和 协 议   信 道 是 S e r v e r 和 C l i e n t 进 行 通 信 用 的 ， 在 . N E T   R e m o t i n g 中 提 供 了 三 种 信 道 类 型 ，
I p c C h a n n e l 提 供 了 使 用 W i n d o w s 进 程 间 通 信 ( I P C ) 系 统 在 同 一 计 算 机 上 的 应 用 程 序 域 之 间 传 输 消 息 的 机 制 。 在 同 一 计 算 机 上 的 应 用 程 序 域 之 间 进 行 通 信 时 ， I P C 信 道 比 T C P 或 H T T P 信 道 要 快 得 多 。 但 是 I P C 只 在 本 机 应 用 之 间 通 信 。 所 以 ， 在 客 户 端 和 服 务 端 在 同 一 台 机 器 时 ， 我 们 可 以 通 过 注 册 I p c C h a n n e l 来 提 高 R e m o t i n g 的 性 能 。 但 如 果 客 户 端 和 服 务 端 不 在 同 一 台 机 器 时 ， 我 们 不 能 注 册 I P C C h a n n e l ， 在 此 不 多 介 绍 。 T c p C h a n n e l 提 供 了 基 于 S o c k e t   的 传 输 工 具 ， 使 用 T c p 协 议 来 跨 越 R e m o t i n g 边 界 传 输 序 列 化 的 消 息 流 。 默 认 使 用 二 进 制 格 式 序 列 化 消 息 对 象 ， 具 有 更 高 的 传 输 性 能 ， 适 用 于 局 域 网 。 H t t p C h a n n e l 提 供 了 一 种 使 用 H t t p 协 议 ， 使 其 能 在 I n t e r n e t 上 穿 透 防 火 墙 传 输 序 列 化 消 息 流 ， H t t p C h a n n e l 类 型 使 用 S o a p 格 式 序 列 化 消 息 对 象 ， 因 此 它 具 有 更 好 的 互 操 作 性 。 适 用 于 广 域 网 ， 如 图
0 x 0 3   攻 击 原 理 攻 击 原 理 研 究 漏 洞 之 前 先 普 及 下 H t t p C h a n n e l 的 相 关 基 础 知 识 ， H t t p C h a n n e l 类 使 用   S O A P   协 议 在 远 程 对 象 之 间 传 输 消 息 ， 并 且 符 合 S O A P 1 . 1 的 标 准 ， 所 有 的 消 息 都 是 通 过 S o a p F o r m a t t e r 传 递 ， 此 格 式 化 器 会 将 消 息 转 换 为   X M L 数 据 并 进 行 序 列 化 ， 同 时 向 数 据 流 中 添 加 所 需 的 S O A P 标 头 。 如 果 指 定 了 二 进 制 格 式 化 程 序 ， 则 会 创 建 二 进 制 数 据 流 。 随 后 ， 将 使 用   H T T P   协 议 将 数 据 流 传 输 至 目 标 U R I 。 H t t p C h a n n e l 分 类 如 图 下 面 是 从 微 软 文 档 里 摘 取 定 义 服 务 端 的 代 码 片 段 ：
每 行 代 码 分 别 实 现 了 创 建 服 务 端 通 道 并 且 绑 定 本 地 端 口 9 0 9 0 ； 注 册 服 务 端 通 道 ； 以 及 通 过 访 问 U R I 为 R e m o t e O b j e c t . r e m 的 地 址 调 用 远 程 的 对 象 ， 在 . N E T   R e m o t i n g 中 有 个 激 活 方 式 的 概 念 ， 表 示 在 访 问 远 程 类 型 的 一 个 对 象 实 例 之 前 ， 必 须 通 过 一 个 名 为 A c t i v a t i o n 的 进 程 创 建 它 并 进 行 初 始 化 。 代 码 中 引 入 了 服 务 端 激 活 的 W e l l K n o w n 方 式 ， 看 下 图 W e l l K n o w n 理 解 为 知 名 对 象 的 激 活 ， 服 务 器 应 用 程 序 在 激 活 对 象 实 例 之 前 会 在 统 一 资 源 标 识 符 ( U R I ) 上 来 发 布 这 个 类 型 。 然 后 该 服 务 器 进 程 会 为 此 类 型 配 置 一 个 W e l l K n o w n 对 象 ， 并 根 据 指 定 的 端 口 或 地 址 来 发 布 对 象 ， 它 的 激 活 分 为 S i n g l e T o n 模 式 、 S i n g l e C a l l 模 式 ， S i n g l e T o n 类 所 代 表 的 类 型 规 定 每 个 A p p D o m a i n 只 能 存 在 一 个 实 例 ， 当 S i n g l e T o n 类 型 加 载 到 A p p D o m a i n 的 时 候 ， C L R 调 用 它 的 静 态 构 造 器 去 构 造 一 个 S i n g l e T o n 对 象 ， 并 将 它 的 引 用 保 存 到 静 态 字 段 中 ， 而 且 该 类 也 没 有 提 供 任 何 的 公 共 构 造 器 方 法 ， 这 就 防 止 了 其 他 任 何 代 码 构 造 该 类 的 其 他 实 例 。 具 体 到 这 两 种 模 式 各 有 区 别 ， 都 可 以 触 发 漏 洞 ， 因 不 是 重 点 所 以 不 做 过 多 介 绍 。 3 . 1 、 远 程 对 象 、 远 程 对 象 图 中 的 R e m o t e O b j e c t 类 ， 这 是 一 个 远 程 对 象 ， 看 下 微 软 官 方 的 定 义 R e m o t e O b j e c t 继 承 自 M a r s h a l B y R e f O b j e c t 类 ， M a r s h a l B y R e f O b j e c t 类 （ 按 引 用 封 送 ） 支 持 远 程 处 理 的 应 用 程 序 中 跨 应 用 程 序 域 （ A p p D o m a i n ） 边 界 访 问 对 象 ， 同 一 应 用 程 序 域 中 的 对 象 直 接 通 信 。 不 同 应 用 程 序 域 中 的 对 象 的 通 信 方 式 有 两 种 ： 跨 应 用 程 序 域 边 界 传 输 对 象 副 本 、 通 过 代 理 交 换 消 息 ， M a r s h a l B y R e f O b j e c t 类 本 质 上 通 过 引 用 代 理 交 换 消 息 来 跨 应 用 程 序 域 边 界 进 行 通 信 的 对 象 的 基 类 。 3 . 2 、 服 务 端 、 服 务 端 创 建 服 务 端 的 信 道 分 为 H t t p S e r v e r C h a n n e l 、 H t t p C h a n n e l ， 其 中 H t t p S e r v e r C h a n n e l 类 有 多 个 重 载 方 法 ， 需 要 知 道 和 漏 洞 相 关 的 两 个 重 载 是 发 生 在 参 数 I S e r v e r C h a n n e l S i n k P r o v i d e r ， 它 表 示 服 务 端 远 程 消 息 流 的 信 道 接 收 器
I S e r v e r C h a n n e l S i n k P r o v i d e r 派 生 出 多 个 类 ， 例 如 B i n a r y S e r v e r F o r m a t t e r S i n k P r o v i d e r 、 S o a p S e r v e r F o r m a t t e r S i n k P r o v i d e r 类 ， 如 下 图 S o a p S e r v e r F o r m a t t e r S i n k P r o v i d e r 类 实 现 了 这 个 接 口 ， 并 使 用 S o a p F o r m a t t e r 格 式 化 器 序 列 化 对 象 ， 如 下 图 S o a p F o r m a t t e r 格 式 化 器 实 现 了 S y s t e m . R u n t i m e . S e r i a l i z a t i o n . I F o r m a t t e r 接 口 ， I F o r m a t t e r 接 口 包 括 了 S e r i a l i z e 、 D e s e r i a l i z e 方 法 ， 提 供 了 序 列 化 对 象 图 的 功 能 。 在 序 列 化 的 时 候 调 用 格 式 化 器 的 S e r i a l i z e 方 法 ， 传 递 对 流 对 象 的 引 用 和 想 要 序 列 化 的 对 象 图 引 用 的 两 个 参 数 ， 流 对 象 可 以 是 从 S y s t e m . I O . S t r e a m 类 派 生 出 来 的 任 意 对 象 ， 比 如 常 见 的 M e m o r y S t r e a m 、 F i l e S t r e a m 等 ， 简 单 的 说 就 是 通 过 格 式 化 器 的 S e r i a l i z e 方 法 可 将 对 象 图 中 所 有 对 象 都 被 序 列 化 到 流 里 去 ， 通 过 D e s e r i a l i z e 方 法 将 流 反 序 列 化 为 对 象 图 。
介 绍 完 S o a p F o r m a t t e r 之 后 回 过 头 来 继 续 看 S o a p S e r v e r F o r m a t t e r S i n k P r o v i d e r 类 ， 它 有 一 个 重 要 的 属 性 T y p e F i l t e r L e v e l ， 表 示 当 ， 表 示 当 前 自 动 反 序 列 化 级 别 ， 支 持 的 值 为 前 自 动 反 序 列 化 级 别 ， 支 持 的 值 为 L o w ( 默 认 默 认 ) 和 和 F U L L 。 。 当 取 值 为 L o w 的 时 候 ， 代 表 . N E T   F r a m e w o r k   远 程 处 理 较 低 的 反 序 列 化 级 别 ， 只 支 持 基 本 远 程 处 理 功 能 相 关 联 的 类 型 ， 而 取 值 为 F u l l 的 时 候 则 支 持 所 有 类 型 在 任 意 场 景 下 远 程 处 理 都 支 持 ， 所 以 取 值 为 所 以 取 值 为 F u l l 的 时 候 ， 存 在 着 严 重 的 安 全 风 险 的 时 候 ， 存 在 着 严 重 的 安 全 风 险 。 梳 理 一 下 H T T P 信 道 攻 击 的 前 置 条 件 ， 第 一 步 实 例 化 S o a p S e r v e r F o r m a t t e r S i n k P r o v i d e r 类 并 且 设 置 T y p e F i l t e r L e v e l 属 性 为 F u l l ； 第 二 步 实 例 化 H t t p S e r v e r C h a n n e l / H t t p C h a n n e l 类 ， 使 用 下 列 三 种 重 载 方 法 实 现 传 入 参 数 S o a p S e r v e r F o r m a t t e r S i n k P r o v i d e r 满 足 攻 击 者 需 求 的 第 1 个 攻 击 重 载 方 法 是 p u b l i c H t t p S e r v e r C h a n n e l ( I D i c t i o n a r y   p r o p e r t i e s , I S e r v e r C h a n n e l S i n k P r o v i d e r s i n k P r o v i d e r ) ; 这 里 笔 者 用 V u l n e r a b l e D o t N e t H T T P R e m o t i n g 项 目 中 的 V u l n e r a b l e D o t N e t H T T P R e m o t i n g S e r v e r 类 来 改 写 官 方 D e m o   。 I D i c t i o n a r y 集 合 存 放 当 前 通 道 的 配 置 信 息 ， 如 图 满 足 攻 击 者 需 求 的 第 2 个 攻 击 重 载 方 法 是 p u b l i c H t t p S e r v e r C h a n n e l ( s t r i n g   n a m e ,   i n t   p o r t , I S e r v e r C h a n n e l S i n k P r o v i d e r s i n k P r o v i d e r ) ; 满 足 攻 击 者 需 求 的 第 3 个 攻 击 方 法 是 位 于 H t t p C h a n n e l 类 下 的   p u b l i c   H t t p C h a n n e l ( I D i c t i o n a r y p r o p e r t i e s , I C l i e n t C h a n n e l S i n k P r o v i d e r   c l i e n t S i n k P r o v i d e r ,   I S e r v e r C h a n n e l S i n k P r o v i d e r s e r v e r S i n k P r o v i d e r ) V u l n e r a b l e D o t N e t H T T P R e m o t i n g 项 目 中 用 到 就 是 第 三 种 攻 击 方 法 ， 由 于 . N E T   R e m o t i n g 客 户 端 在 攻 击 中 用 途 不 大 ， 故 笔 者 不 做 赘 述 。 0 x 0 4   打 造 打 造 P o c 国 外 研 究 者 发 现 M i c r o s o f t . V i s u a l S t u d i o . T e x t . U I . W p f . d l l   中 的 M i c r o s o f t . V i s u a l S t u d i o . T e x t . F o r m a t t i n g . T e x t F o r m a t t i n g R u n P r o p e r t i e s 类 实 现 了 I S e r i a l i z a b l e 接 口 ， 这 个 接 口 可 以 对 序 列 化 / 反 序 列 化 的 数 据 进 行 完 全 的 控 制 ， 并 且 还 避 免 了 反 射 机 制 ， 但 有 个 问 题
M i c r o s o f t . V i s u a l S t u d i o . T e x t . U I . W p f . d l l 需 要 安 装 V i s u a l S t u d i o ， 在 非 开 发 主 机 上 不 会 安 装 ， 但 研 究 者 后 来 发 现 M i c r o s o f t . V i s u a l S t u d i o . T e x t . F o r m a t t i n g . T e x t F o r m a t t i n g R u n P r o p e r t i e s 类 在 W i n d o w s 默 认 安 装 的 M i c r o s o f t . P o w e r S h e l l . E d i t o r . d l l 里 也 同 样 存 在 ， 反 编 译 得 到 源 码 ， 实 现 了 I S e r i a l i z a b l e 接 口 ， I S e r i a l i z a b l e 只 有 一 个 方 法 ， 即 G e t O b j e c t D a t a ， 如 果 一 个 对 象 的 类 型 实 现 了 I S e r i a l i z a b l e 接 口 ， 会 构 造 出 新 的 S y s t e m . R u n t i m e . S e r i a l i z a t i o n . S e r i a l i z a t i o n I n f o 对 象 ， 这 个 对 象 包 含 了 要 为 对 象 序 列 化 的 值 的 集 合 。 G e t O b j e c t D a t a 方 法 的 功 能 是 调 用 S e r i a l i z a t i o n I n f o 类 型 提 供 的 S e t T y p e 方 法 设 置 类 型 转 换 器 ， 使 用 提 供 的 A d d V a l u e 多 个 重 载 方 法 来 指 定 要 序 列 化 的 信 息 ， 针 对 要 添 加 的 添 加 的 每 个 数 据 ， 都 要 调 用 一 次 A d d V a l u e ， G e t O b j e c t D a t a 添 加 好 所 有 必 要 的 序 列 化 信 息 后 会 返 回 到 类 型 解 析 器 ， 类 型 解 析 器 获 取 已 经 添 加 到 S e r i a l i z a t i o n I n f o 对 象 的 所 有 值 ， 并 把 他 们 都 序 列 化 到 流 中 ， 代 码 逻 辑 实 现 部 分 参 考 如 下 T e x t F o r m a t t i n g R u n P r o p e r t i e s 类 中 的 F o r e g r o u n d B r u s h 属 性 支 持 X A M L 数 据 ， 攻 击 者 可 以 引 入 《 《 . N E T 高 级 代 码 审 计 （ 第 一 课 ） 高 级 代 码 审 计 （ 第 一 课 ） X m l S e r i a l i z e r 反 序 列 化 漏 洞 》 反 序 列 化 漏 洞 》 同 样 的 攻 击 载 荷 ， 如 下
又 因 为 S o a p S e r v e r F o r m a t t e r S i n k P r o v i d e r 类 用 S o a p F o r m a t t e r 格 式 化 器 处 理 数 据 ， 所 以 客 户 端 提 交 的 数 据 肯 定 是 S O A P 消 息 ， S O A P 是 基 于 X M L 的 简 易 协 议 ， 让 应 用 程 序 在 H T T P 上 进 行 信 息 交 换 用 的 。 为 了 给 出 标 准 的 S O A P 有 效 负 载 ， 笔 者 参 考 微 软 官 方 给 的 D e m o 结 合 S o r o u s h   D a l i l i   ( @ i r s d l ) 给 出 的 有 效 载 荷 ， 元 素 a 1 指 向 的 命 名 空 间 正 是 T e x t F o r m a t t i n g R u n P r o p e r t i e s 类 所 在 空 间 地 址 在 < a 1 : T e x t F o r m a t t i n g R u n P r o p e r t i e s > < / a 1 : T e x t F o r m a t t i n g R u n P r o p e r t i e s > 元 素 内 添 加 了 属 性 F o r e g r o u n d B r u s h ， 在 F o r e g r o u n d B r u s h 元 素 内 带 入 R e s o u r c e D i c t i o n a r y ， 这 样 S O A P 消 息 的 攻 击 载 荷 主 体 就 完 成 了 。 @ i r s d l 给 出 的 有 效 载 荷 如 下   由 于 . N E T   R e m o t i n g 只 支 持 S O A P   1 . 1 ， 所 以 要 指 定 S O A P A c t i o n ， 说 来 也 奇 怪 这 个 S O A P A c t i o n 的 值 是 个 U R I ， 但 是 这 个 U R I 不 必 对 应 实 际 的 位 置 。 S O A P A c t i o n   H e a d e r 选 项 在 S O A P 1 . 2 版 本 已 经 移 除 。 另 外 一 点 图 上 请 求 U R I 中 的 扩 展 名 是 r e m ， 如 果 生 产 环 境 部 署 在 I I S 里 ， 默 认 调 用 . N E T 应 用 模 块 I s a p i M o d u l e 来 处 理 H t t p R e m o t i n g ， 所 以 在 白 盒 审 计 或 者 黑 盒 渗 透 的 时 候 遇 到 r e m 扩 展 名 ， 就 得 考 虑 可 能 开 启 了 . N E T   R e m o t i n g 应 用 。
还 有 一 处 需 要 注 意 ， H T T P 请 求 有 个 扩 展 方 法 M - P O S T ， 其 中 的 其 中 的 M 表 示 M a n d a t o r y （ 必 须 遵 循 的 ， 强 制 的 ） ， 如 果 一 个 H T T P 请 求 包 含 至 少 一 个 强 制 的 扩 充 声 明 ， 那 么 这 个 请 求 就 称 为 强 制 的 请 求 。 强 制 请 求 的 请 求 方 法 名 字 必 须 带 有 “ M - ” 前 缀 ， 例 如 ， 强 制 的 P O S T 方 法 称 为 M - P O S T ， 这 样 的 请 求 方 式 或 许 能 更 好 的 躲 避 和 穿 透 防 护 设 备 。 0 x 0 5   代 码 审 计 代 码 审 计 5 . 1 、 、 S o a p S e r v e r F o r m a t t e r S i n k P r o v i d e r 从 S o a p S e r v e r F o r m a t t e r S i n k P r o v i d e r 类 分 析 来 看 ， 需 要 满 足 属 性 T y p e F i l t e r L e v e l 的 值 等 于 T y p e F i l t e r L e v e l . F u l l ， 可 触 发 的 通 道 包 括 了 H t t p C h a n n e l 类 、 H t t p S e r v e r C h a n n e l 类 ， 这 个 攻 击 点 的 好 处 在 于 发 送 H T T P   S O A P 消 息 ， 可 很 好 的 穿 透 防 火 墙 。 5 . 2 、 、 B i n a r y S e r v e r F o r m a t t e r S i n k P r o v i d e r 从 B i n a r y S e r v e r F o r m a t t e r S i n k P r o v i d e r 类 分 析 来 看 ， 也 需 要 满 足 属 性 T y p e F i l t e r L e v e l 的 值 等 于 T y p e F i l t e r L e v e l . F u l l ， 可 触 发 的 通 道 包 括 了 T c p C h a n n e l 类 、 T c p S e r v e r C h a n n e l 类 ， 这 个 攻 击 点 可 反 序 列 化 二 进 制 文 件 ， 笔 者 由 于 时 间 仓 促 ， 暂 时 不 做 分 析 跟 进 ， 有 兴 趣 的 朋 友 可 自 行 研 究 。 0 x 0 6   复 盘 复 盘 笔 者 将 V u l n e r a b l e D o t N e t H T T P R e m o t i n g 项 目 部 署 到 虚 拟 机 ， 运 行 S e r v e r 端 ， 打 开 了 本 地 端 口 1 2 3 4 B u r p s u i t e 请 求 后 成 功 弹 出 计 算 器 ， 感 谢 S o r o u s h   D a l i l i   ( @ i r s d l ) 的 分 享 。
0 x 0 7   总 结 总 结 . N E T   R e m o t i n g 技 术 已 经 出 来 很 多 年 了 ， 现 在 微 软 主 推 W C F 来 替 代 它 ， 在 开 发 中 使 用 概 念 越 来 越 低 ， 从 漏 洞 本 身 看 只 要 没 有 设 置 S o a p S e r v e r F o r m a t t e r S i n k P r o v i d e r 类 属 性 T y p e F i l t e r L e v e l = F u l l 就 不 会 产 生 反 序 列 化 攻 击 （ 默 认 就 是 安 全 的 ） 最 后 . N E T 反 序 列 化 系 列 课 程 笔 者 会 同 步 到   h t t p s : / / g i t h u b . c o m / I v a n 1 e e / 、 h t t p s : / / i v a n 1 e e . g i t b o o k . i o / ， 后 续 笔 者 将 陆 续 推 出 高 质 量 的 . N E T 反 序 列 化 漏 洞 文 章 ， 欢 迎 大 伙 持 续 关 注 ， 交 流 ， 更 多 的 . N E T 安 全 和 技 巧 可 关 注 实 验 室 公 众 号 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理