搜索

[11646] 2017-08-10_Java反序列化危机已过，这次来的是.Net反序列化漏洞

文档创建者：s7ckTeam
浏览次数：45
最后更新：2025-01-18
2017-08-10_Java反序列化危机已过，这次来的是.Net反序列化漏洞 J a v a 反 序 列 化 危 机 已 过 ， 这 次 来 的 是 . N e t 反 序 列 化 漏 洞 E l a i n e _ z   F r e e B u f   2 0 1 7 - 0 8 - 1 0 2 0 1 6   年 年   J a v a   应 用 程 序 及 开 发 者 受 到 应 用 程 序 及 开 发 者 受 到 反 序 列 化 漏 洞 的 破 坏 性 影 响 ， 而 如 今 反 序 列 化 漏 洞 的 破 坏 性 影 响 ， 而 如 今   . N E T   生 态 系 统 也 正 在 遭 受 同 样 的 危 生 态 系 统 也 正 在 遭 受 同 样 的 危 机 。 新 的 问 题 存 在 于 机 。 新 的 问 题 存 在 于   . N E T   代 码 库 中 处 理 反 序 列 化 的 操 作 中 ， 攻 击 者 同 样 可 以 通 过 这 个 漏 洞 在 服 务 器 或 相 关 计 代 码 库 中 处 理 反 序 列 化 的 操 作 中 ， 攻 击 者 同 样 可 以 通 过 这 个 漏 洞 在 服 务 器 或 相 关 计 算 机 设 备 上 进 行 代 码 注 入 。 算 机 设 备 上 进 行 代 码 注 入 。 我 们 知 道 ， 序 列 化 指 的 是 将 对 象 转 化 为 字 节 序 列 以 便 保 存 在 内 存 、 文 件 、 或 数 据 库 中 。 而 这 个 序 列 化 过 程 主 要 是 为 了 将 对 象 的 状 态 保 存 下 来 ， 在 之 后 有 需 要 之 时 可 以 重 新 创 建 对 象 。 而 与 之 相 反 的 过 程 则 被 称 为 反 序 列 化 。 而 在 这 个 过 程 中 ， 如 果 没 有 对 数 据 进 行 安 全 性 检 验 ， 直 接 对 不 可 信 数 据 进 行 反 序 列 化 处 理 ， 那 么 攻 击 者 可 以 通 过 构 建 恶 意 的 数 据 输 入 ， 让 反 序 列 化 构 建 的 对 象 带 来 非 预 期 的 结 果 。 2 0 1 5   -   2 0 1 6   年 的 年 的   J a v a   反 序 列 化 启 示 反 序 列 化 启 示 自 2 0 1 1 年 开 始 ， 攻 击 者 就 开 始 利 用 反 序 列 化 问 题 发 起 攻 击 。 2 0 1 5 年 上 半 年 ， 两 名 研 究 员   C h r i s   F r o h o f f   和   G a b r i e l   L a w r e n c e   发 现   A p a c h e   C o m m o n s   C o l l e c t i o n   中 的 反 序 列 化 漏 洞 后 ， 这 个 问 题 才 真 正 开 始 让 每 个 开 发 者 头 疼 。 在 2 0 1 5 年 年 底 ， F o x g l o v e   S e c u r i t y   的 安 全 研 究 员 ， 揭 开 了 攻 击 者 如 何 利 用   J a v a   程 序 中 的 反 序 列 化 漏 洞 进 行 攻 击 。 研 究 调 查 显 示 ， 常 见 的   J a v a   a p p   中 均 存 在 这 个 问 题 （ 如   W e b L o g i c ， W e b S p h e r e ， J B o s s ， J e n k i n s   以 及 O p e n N M S ） 。 攻 击 者 可 以 利 用 漏 洞 进 行 恶 意 数 据 上 传 ， 而 上 传 上 去 的 数 据 会 被 序 列 化 ， 然 后 存 储 到 数 据 库 或 内 存 中 ， 当   a p p   反 序 列 化 这 些 数 据 内 容 时 ， 就 会 触 发 恶 意 代 码 ， 影 响 整 个 系 统 。
这 个 漏 洞 在   2 0 1 6   年 撼 动 了 整 个 J a v a   生 态 系 统 ， 也 影 响 到 了   7 0   余 个 其 他 的   J a v a   库 ， 甚 至 还 让   P a y P a l   的 服 务 器 遭 受 影 响 。 而 大 型 的 组 织 和 机 构 ， 如   A p a c h e ,   O r a c l e ,   C i s c o ,   R e d   H a t ,   J e n k i n s ,   V M W a r e ,   I B M ,   I n t e l ,   A d o b e , H P ,   和   S o l a r W i n d s 之 类 ， 都 对 自 己 的 系 统 和 产 品 进 行 彻 底 排 查 和 漏 洞 修 复 。 J a v a   反 序 列 化 漏 洞 造 成 了 严 重 的 影 响 ， 还 引 发   G o o g l e 工 程 师 的   “ 在 业 余 时 间 修 复 开 源 在 业 余 时 间 修 复 开 源 J a v a   库 库 ”   的 活 动 ， 他 们 共 计 修 复 了 2 6 0 0 多 个 项 目 ， 以 减 轻 此 漏 洞 带 来 的 影 响 。 尽 管 在 谷 歌 的 内 部 ， 这 个 漏 洞 的 别 名 叫 做   “ 疯 狂 小 工 具 疯 狂 小 工 具 ” （ M a d G a d g e t ） ， 但 对 整 个 世 界 而 言 ， 反 序 列 化 漏 洞 问 题 是   J a v a   世 界 的 一 次 浩 劫 世 界 的 一 次 浩 劫 。 反 序 列 化 问 题 同 样 影 响 反 序 列 化 问 题 同 样 影 响   . N E T   应 用 程 序 应 用 程 序 目 前 ， 惠 普 软 件 的 两 名 研 究 员   A l v a r o   M u ñ o z   和   O l e k s a n d r   M i r o s h   发 现 ， 一 个 与 此 前 J a v a   反 序 列 化 漏 洞 相 似 的 问 题 也 在     . N E T   中 重 现 了 。 和   J a v a   应 用 程 序 一 样 ， 漏 洞 存 在 于   . N E T   库 中 反 序 列 化 过 程 ， 处 理 序 列 化 数 据 的 方 法 中 ， 而 当 目 标 计 算 机 运 行 时 这 些 恶 意 注 入 的 代 码 就 会 执 行 。 和   J a v a   世 界 同 样 ， 这 些     . N E T   漏 洞 在 整 个 生 态 系 统 中 并 非 全 部 存 在 。 某 些     . N E T   库 是 不 受 影 响 的 ， 开 发 时 可 以 正 常 使 用 这 些 库 。 还 有 一 些 应 用 即 便 使 用 了 受 影 响 的 库 ， 也 是 安 全 的 ， 因 为 程 序 员 在 应 用 中 禁 用 了 获 取 序 列 化 数 据 的 函 数 和 方 法 。 在 他 们 的 研 究 报 告 中 ， M u ñ o z   和   M i r o s h     将 研 究 重 点 放 在 分 析 使 用   J S O N   存 储 数 据 的   . N E T   ／ J a v a   反 序 列 化 漏 洞
上 。 他 们 指 出 哪 些 应 用 程 序 是 安 全 可 靠 的 ， 开 发 人 员 应 该 如 何 在 使 用   J S O N   数 据 时 ， 避 免 遭 受 反 序 列 化 攻 击 。 许 多 常 见 许 多 常 见   . N E T   项 目 中 存 在 的 反 序 列 化 漏 洞 项 目 中 存 在 的 反 序 列 化 漏 洞 这 些 漏 洞 不 只 是 理 论 层 面 已 经 发 现 ， 在 实 际 的 应 用 中 也 已 经 证 实 会 造 成 影 响 ， 研 究 人 员 发 现 在     . N E T   数 据 管 理 后 端 框 架   B r e e z e   中 存 在   J S O N   反 序 列 化 漏 洞   C V E - 2 0 1 7 - 9 4 2 4 ；   还 有   C V E - 2 0 1 7 - 9 7 8 5 ， 这 是 一 个 存 在 于   N a n c y F X     中 的 反 序 列 化 漏 洞 — — 基 于   R u b y   的   轻 量 级   . N E T   w e b   框 架 。 而 除 了 J S O N   反 序 列 化 之 外 ， 还 有 一 些   . N E T   库 中 还 存 在 着   X M L   数 据 对 象 的 反 序 列 化 问 题 。 研 究 员 发 现 D o t N e t N u k e   这 个 流 行 的   . N E T   C M S 系 统 中 也 存 在   X M L   反 序 列 化 漏 洞 。 如 上 所 述 ， 这 些 问 题 是 由 各 种   . N E T   库 中 的 漏 洞 组 合 而 成 的 ， 同 时 也 是 因 为 开 发 人 员 的 不 良 编 码 实 践 导 致 的 ， 他 们 没 有 意 识 到 序 列 化 数 据 并 不 一 定 是 安 全 的 。 由 此 避 免 此 类 的 安 全 问 题 除 了 修 复   . N E T 库 之 外 ， 还 需 要 对 开 发 者 的 编 程 习 惯 加 以 规 范 。 序 列 化 过 程 很 能 影 响 产 品 的 安 全 性 的 ， 开 发 时 需 要 注 意 不 能 使 用 未 加 验 证 的 数 据 。 反 序 列 化 问 题 并 非 只 出 现 在   J a v a   序 列 化 之 中 ， 或 者 如   J S O N ， X M L   之 类 特 定 的   . N E T   数 据 格 式 中 。 所 有 序 列 化 操 作 后 都 会 重 新 创 建 对 象 ， 攻 击 注 入 的 代 码 即 可 能 被 其 他 方 法 调 用 ， 触 发 任 意 代 码 执 行 。 今 年 8 月 初 ， 研 究 小 组 也 在 美 国 拉 斯 维 加 斯 举 行 的   B l a c k   H a t   和   D E F   C O N   安 全 会 议 上 发 表 了 他 们 的 调 查 结 果 。 * 参 考 来 源 ： b l e e p i n g c o m p u t e r ,   E l a i n e 编 译 ， 转 载 请 注 明   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理