搜索

[2092] 2019-03-06_.NET高级代码审计（第一课）XmlSerializer反序列漏洞

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-16
2019-03-06_.NET高级代码审计（第一课）XmlSerializer反序列漏洞 . N E T 高 级 代 码 审 计 （ 第 一 课 ） X m l S e r i a l i z e r 反 序 列 漏 洞 原 创   I v a n 1 e e   d o t N e t 安 全 研 究 僧   2 0 1 9 - 0 3 - 0 6 0 X 0 0   前 言 前 言 在 . N E T   框 架 中 的   X m l S e r i a l i z e r   类 是 一 种 很 棒 的 工 具 ， 它 是 将 高 度 结 构 化 的   X M L   数 据 映 射 为   . N E T   对 象 。 X m l S e r i a l i z e r 类 在 程 序 中 通 过 单 个   A P I   调 用 来 执 行   X M L 文 档 和 对 象 之 间 的 转 换 。 转 换 的 映 射 规 则 在   . N E T   类 中 通 过 元 数 据 属 性 来 表 示 ， 如 果 程 序 开 发 人 员 使 用 T y p e 类 的 静 态 方 法 获 取 外 界 数 据 ， 并 调 用 D e s e r i a l i z e 反 序 列 化 x m l 数 据 就 会 触 发 反 序 列 化 漏 洞 攻 击 （ 例 如 D o t N e t N u k e   任 意 代 码 执 行 漏 洞   C V E - 2 0 1 7 - 9 8 2 2 ） ， 本 文 笔 者 从 原 理 和 代 码 审 计 的 视 角 做 了 相 关 脑 图 介 绍 和 复 现 。 0 X 0 1   X m l S e r i a l i z e r 序 列 化 序 列 化 . N E T   框 架 中   S y s t e m . X m l . S e r i a l i z a t i o n   命 名 空 间 下 的 X m l S e r i a l i z e r 类 可 以 将   X M L   文 档 绑 定 到   . N E T   类 的 实 例 ， 有 一 点 需 要 注 意 它 只 能 把 对 象 的 公 共 属 性 和 公 共 字 段 转 换 为 X M L 元 素 或 属 性 ， 并 且 由 两 个 方 法 组 成 ： S e r i a l i z e ( )   用 于 从 对 象 实 例 生 成   X M L ； D e s e r i a l i z e ( )   用 于 将   X M L   文 档 分 析 成 对 象 图 ， 被 序 列 化 的 数 据 可 以 是 数 据 、 字 段 、 数 组 、 以 及 X m l E l e m e n t 和 X m l A t t r i b u t e 对 象 格 式 的 内 嵌 X M L 。 具 体 看 下 面 d e m o X m l E l e m e n t 指 定 属 性 要 序 列 化 为 元 素 ， X m l A t t r i b u t e 指 定 属 性 要 序 列 化 为 特 性 ， X m l R o o t 特 性 指 定 类 要 序 列 化 为 根 元 素 ； 通 过 特 性 类 型 的 属 性 、 影 响 要 生 成 的 名 称 、 名 称 空 间 和 类 型 。 再 创 建 一 个 T e s t C l a s s 类 的 实 例 填 充 其 属 性 序 列 化 为 文 件 ， X m l S e r i a l i z e r . S e r i a l i z e 方 法 重 载 可 以 接 受 S t r e a m 、 T e x t W r i t e 、 X m l W r i t e 类 ， 最 终 生 成 的 X M L 文 件 列 出 了 T e s t C l a s s 元 素 、 C l a s s n a m e 特 性 和 其 它 存 储 为 元 素 的 属 性 ：
0 x 0 2   X m l S e r i a l i z e 反 序 列 化 反 序 列 化 反 序 列 过 程 ： 将 x m l 文 件 转 换 为 对 象 是 通 过 创 建 一 个 新 对 象 的 方 式 调 用 X m l S e r i a l i z e r . D e s e r i a l i z e 方 法 实 现 的 ， 在 序 列 化 最 关 键 的 一 环 当 属 n e w   X m l S e r i a l i z e r 构 造 方 法 里 所 传 的 参 数 ， 这 个 参 数 来 自 S y s t e m . T y p e 类 ， 通 过 这 个 类 可 以 访 问 关 于 任 意 数 据 类 型 的 信 息 ， 指 向 任 何 给 定 类 型 的 T y p e 引 用 有 以 下 三 种 方 式 。 2 . 1 、 、 t y p e o f 实 例 化 X m l S e r i a l i z e r 传 入 的 t y p e o f ( T e s t C l a s s )   表 示 获 取 T e s t C l a s s 类 的 T y p e ， t y p e o f 是 C # 中 的 运 算 符 ， 所 传 的 参 数 只 能 是 类 型 的 名 称 ， 而 不 能 是 实 例 化 的 对 象 ， 如 下 D e m o 通 过 t y p e o f 获 取 到 T y p e 之 后 就 能 得 到 该 类 中 所 有 的 M e t h o d s 、 M e m b e r s 等 信 息 。 下 图 运 行 D e b u g 时 ， 弹 出 消 息 对 话 框 显 示 当 前 成 员 N a m e 的 值 。 2 . 2 、 、 o b j e c t . T y p e 在 . N E T 里 所 有 的 类 最 终 都 派 生 自 S y s t e m . O b j e c t ， 在 O b j e c t 类 中 定 义 了 许 多 公 有 和 受 保 护 的 成 员 方 法 ， 这 些 方 法 可 用 于 自 己 定 义 的 所 有 其 他 类 中 ， G e t T y p e 方 法 就 是 其 中 的 一 个 ， 该 方 法 返 回 从 S y s t e m . T y p e 派 生 的 类 的 一 个 实 例 ， 因 为 可 以 提 供 对 象 成 员 所 属 类 的 信 息 ， 包 括 基 本 类 型 、 方 法 、 属 性 等 ， 上 述 案 例 中 实 例 化 T e s t C l a s s ， 再 获 取 当 前 实 例 的 T y p e ， 如 下 D e m o 2 . 3 、 、 T y p e . G e t T y p e 第 三 种 方 法 是 T y p e 类 的 静 态 方 法 G e t T y p e ， 这 个 方 法 允 许 外 界 传 入 字 符 串 ， 这 是 重 大 利 好 ， 只 需 要 传 入 全 限 定 名 就 可 以 调 用 该 类 中 的 方 法 、 属 性 等
T y p e . G e t T y p e 传 入 的 参 数 也 是 反 序 列 化 产 生 的 漏 洞 污 染 点 ， 接 下 来 就 是 要 去 寻 找 可 以 被 用 来 攻 击 使 用 的 类 。 0 X 0 3   打 造 攻 击 链 打 造 攻 击 链 首 先 放 上 攻 击 链 打 造 成 功 后 的 完 整 D e m o ， 这 段 D e m o 可 以 复 用 在 任 意 地 方 （ 这 里 不 涉 及 . N E T   C o r e 、 M V C ） ， 如 下 图 只 要 X m l S e r i a l i z e r 存 在 反 序 列 化 漏 洞 就 可 用 下 面 D e m o 中 的 内 容 ， 涉 及 到 三 个 主 要 的 技 术 点 ， 以 下 分 别 来 介 绍 原 理 。 3 . 1 、 、 O b j e c t D a t a P r o v i d e r O b j e c t D a t a P r o v i d e r 类 ， 它 位 于 S y s t e m . W i n d o w s . D a t a 命 名 空 间 下 ， 可 以 调 用 任 意 被 引 用 类 中 的 方 法 ， 提 供 成 员 O b j e c t I n s t a n c e 用 类 似 实 例 化 类 、 成 员 M e t h o d N a m e 调 用 指 定 类 型 的 方 法 的 名 称 、 成 员 M e t h o d P a r a m e t e r s 表 示 传 递 给 方 法 的 参 数 ， 参 考 下 图 再 给 T e s t C l a s s 类 定 义 一 个 C l a s s M e t h o d 方 法 ， 代 码 实 现 调 用 S y s t e m . D i a g n o s t i c s . P r o c e s s . S t a r t 启 动 新 的 进 程 弹 出 计 算 器 。 如 果 用 X m l S e r i a l i z e r 直 接 序 列 化 会 抛 出 异 常 ， 因 为 在 序 列 化 过 程 中 O b j e c t I n s t a n c e 这 个 成 员 类 型 未 知 ， 不 过 可 以 使 用 E x p a n d e d W r a p p e r 扩 展 类 在 系 统 内 部 预 先 加 载 相 关 实 体 的 查 询 来 避 免 异 常 错 误 ， 改 写 D e m o 生 成 d a t a . x m l 内 容 如 下 ：
攻 击 链 第 一 步 就 算 完 成 ， 但 美 中 不 足 的 是 因 笔 者 在 测 试 环 境 下 新 建 的 T e s t C l a s s 类 存 在 漏 洞 ， 但 在 生 产 情 况 下 是 非 常 复 杂 的 ， 需 要 寻 求 W e b 程 序 中 存 在 脆 弱 的 攻 击 点 ， 为 了 使 攻 击 成 本 降 低 肯 定 得 调 用 系 统 类 去 达 到 命 令 执 行 ， 所 以 需 要 引 入 下 面 的 知 识 。 3 . 2 、 、 R e s o u r c e D i c t i o n a r y R e s o u r c e D i c t i o n a r y ， 也 称 为 资 源 字 典 通 常 出 现 在 W P F 或 U W P 应 用 程 序 中 用 来 在 多 个 程 序 集 间 共 享 静 态 资 源 。 既 然 是 W P F 程 序 ， 必 然 设 计 到 前 端 U I 设 计 语 言 X A M L 。   X A M L 全 称 E x t e n s i b l e   A p p l i c a t i o n   M a r k u p   L a n g u a g e   ( 可 扩 展 应 用 程 序 标 记 语 言 )   基 于 X M L 的 ， 且 X A M L 是 以 一 个 树 形 结 构 作 为 整 体 ， 如 果 对 X M L 了 解 的 话 ， 就 能 很 快 的 掌 握 ， 例 如 看 下 面 D e m o 第 一 个 标 签 R e s o u r c e D i c t i o n a r y ， x m l n s : R u n t i m e 表 示 读 取 S y s t e m . D i a g n o s t i c s 命 令 空 间 的 名 称 起 个 别 名 为 R u n t i m e 第 二 个 标 签 O b j e c t D a t a P r o v i d e r 指 定 了 三 个 属 性 ， x : k e y 便 于 条 件 检 索 ， 意 义 不 大 但 必 须 得 定 义 ； O b j e c t T y p e   用 来 获 取 或 设 置 要 创 建 其 实 例 的 对 象 的 类 型 ， 并 使 用 了 X A M L 扩 展 ； x : T y p e 相 当 于 C # 中 t y p e o f 运 算 符 功 能 ， 这 里 传 递 的 值 是 S y s t e m . D i a g n o s t i c s . P r o c e s s ; M e t h o d N a m e 用 来 获 取 或 设 置 要 调 用 的 方 法 的 名 称 ， 传 递 的 值 为 S y s t e m . D i a g n o s t i c s . P r o c e s s . S t a r t 方 法 用 来 启 动 一 个 进 程 。 第 三 个 标 签 O b j e c t D a t a P r o v i d e r . M e t h o d P a r a m e t e r s 内 嵌 了 两 个 方 法 参 数 标 签 ， 通 过 S y s t e m : S t r i n g 分 别 指 定 了 启 动 文 件 和 启 动 时 所 带 参 数 供 S t a r t 方 法 使 用 。 介 绍 完 攻 击 链 中 R e s o u r c e D i c t i o n a r y 后 ， 攻 击 的 P a y l o a d 主 体 已 经 完 成 ， 接 下 来 通 过 X a m l R e a d e r 这 个 系 统 类 所 提 供 的 X M L 解 析 器 来 实 现 攻 击 。 3 . 3 、 、 X a m l R e a d e r X a m l R e a d e r 位 于 S y s t e m . W i n d o w s . M a r k u p 空 间 下 ， 顾 名 思 义 就 是 用 来 读 取 X A M L 文 件 ， 它 是 默 认 的 X A M L 读 取 器 ， 通 过 L o a d 读 取 S t r e a m 流 中 的 X A M L 数 据 ， 并 返 回 作 为 根 对 象 ， 而 另 外 一 个 P a r s e 方 法 读 取 指 定 字 符 串 中 的 X A M L 输 入 ， 也 同 样 返 回 作 为 根 对 象 ， 自 然 P a r s e 方 法 是 我 们 关 心 和 寻 求 的 。 只 需 使 用 O b j e c t D a t a P r o v i d e r 的 O b j e c t I n s t a n c e 方 法 实 例 化 X a m l R e a d e r ， 再 指 定 M e t h o d N a m e 为 P a r s e ， 并 且 给 M e t h o d P a r a m e t e r s 传 递 序 列 化 之 后 的 资 源 字 典 数 据 ， 这 样 就 可 以 完 成 X m l S e r i a l i z e r 反 序 列 化 攻 击 链 的 打 造 。 0 x 0 4   代 码 审 计 视 角 代 码 审 计 视 角 从 代 码 审 计 的 角 度 其 实 很 容 易 找 到 漏 洞 的 污 染 点 ， 通 过 前 面 几 个 小 节 的 知 识 能 发 现 序 列 化 需 要 满 足 一 个 关 键 条 件 T y p e . G e t T y p e ， 程 序 必 须 通 过 T y p e 类 的 静 态 方 法 G e t T y p e ， 例 如 以 下 d e m o
首 先 创 建 X m l D o c u m e n t 对 象 载 入 x m l ， 变 量 t y p e N a m e 通 过 X p a t h 获 取 到 I t e m 节 点 的 t y p e 属 性 的 值 ， 并 传 给 了 T y p e . G e t T y p e ， 紧 接 着 读 取 I t e m 节 点 内 的 所 有 X m l 数 据 ， 最 终 交 给 D e s e r i a l i z e 方 法 反 序 列 化 ， 这 是 一 个 近 乎 完 美 的 利 用 点 。 再 来 看 笔 者 在 g i t h u b 上 收 集 到 的 X m l S e r i a l i z e r 反 序 列 化 类 ： X m l S e r i a l i z e U t i l . c s 此 处 值 参 数 类 型 为 T y p e ， 代 码 本 身 没 有 问 题 ， 问 题 在 于 程 序 开 发 者 可 能 会 先 定 义 一 个 字 符 串 变 量 来 接 受 传 递 的 t y p e 值 ， 通 过 T y p e . G e t T y p e ( s t r i n g ) 返 回   T y p e 对 象 再 传 递 进 D e s e r i a l i z e X m l ， 在 代 码 审 计 的 过 程 中 也 需 要 关 注 此 处 t y p e 的 来 源 。 0 x 0 5   案 例 复 盘 案 例 复 盘 最 后 再 通 过 下 面 案 例 来 复 盘 整 个 过 程 ， 全 程 展 示 在 V S 里 调 试 里 通 过 反 序 列 化 漏 洞 弹 出 计 算 器 。 1 .     输 入 h t t p : / / l o c a l h o s t : 5 6 5 1 / D e f a u l t ? n o d e = r o o t & v a l u e = t y p e 加 载 了 远 程 的 ( 1 9 2 . 1 6 8 . 2 3 1 . 1 3 5 ) 1 . x m l 文 件
2 .         通 过 x m l H e l p e r . G e t V a l u e 得 到 r o o t 节 点 下 的 所 有 X M L 数 据 3 .   这 步 最 关 键 ， 得 到 r o o t 节 点 的 t y p e 属 性 ， 并 提 供 给 G e t T y p e 方 法 ， X m l S e r i a l i z e r 对 象 实 例 化 成 功 4 .         X m l S e r i a l i z e r . D e s e r i a l i z e ( x m l R e a d e r ) 成 功 调 出 计 算 器
最 后 附 上 动 图 最 后 附 上 动 图 0 x 0 6   总 结 总 结 由 于 X m l S e r i a l i z e r 是 系 统 默 认 的 反 序 列 类 ， 所 以 在 实 际 开 发 中 使 用 率 还 是 比 较 高 的 ， 攻 击 者 发 现 污 染 点 可 控 的 时 候 ， 可 以 从 两 个 维 度 去 寻 找 利 用 的 点 ， 第 一 从 W e b 应 用 程 序 中 寻 求 可 以 执 行 命 令 或 者 写 W e b S h e l l 的 类 和 方 法 ； 第 二 就 是 本 文 中 所 说 的 利 用 O b j e c t D a t a P r o v i d e r 、 R e s o u r c e D i c t i o n a r y 、 X a m l R e a d e r 组 成 的 攻 击 链 去 执 行 命 令 或 者 反 弹 S h e l l   ， 最 后 . N E T 反 序 列 化 系 列 课 程 笔 者 会 同 步 到   h t t p s : / / g i t h u b . c o m / I v a n 1 e e / 、 h t t p s : / / i v a n 1 e e . g i t b o o k . i o / ， 后 续 笔 者 将 陆 续 推 出 高 质 量 的 . N E T 反 序 列 化 漏 洞 文 章 ， 大 致 课 程 大 纲 如 下 图
欢 迎 大 伙 持 续 关 注 ， 交 流 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理