搜索

[2093] 2019-03-11_.NET高级代码审计（第二课）Json.Net反序列化漏洞

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-16
2019-03-11_.NET高级代码审计（第二课）Json.Net反序列化漏洞 . N E T 高 级 代 码 审 计 （ 第 二 课 ）   J s o n . N e t 反 序 列 化 漏 洞 原 创   I v a n 1 e e   d o t N e t 安 全 研 究 僧   2 0 1 9 - 0 3 - 1 1 0 X 0 0   前 言 前 言 N e w t o n s o f t . J s o n ， 这 是 一 个 开 源 的 J s o n . N e t 库 ， 官 方 地 址 ： h t t p s : / / w w w . n e w t o n s o f t . c o m / j s o n ， 也 是 一 个 读 写 J s o n 效 率 非 常 高 的 . N e t 库 ， 在 做 开 发 的 时 候 ， 很 多 数 据 交 换 都 是 以 j s o n 格 式 传 输 的 。 而 使 用 J s o n 的 时 候 ， 开 发 者 很 多 时 候 会 涉 及 到 几 个 序 列 化 对 象 的 使 用 ： D a t a C o n t r a c t J s o n S e r i a l i z e r ， J a v a S c r i p t S e r i a l i z e r   和   J s o n . N E T 即 N e w t o n s o f t . J s o n 。 大 多 数 人 都 会 选 择 性 能 以 及 通 用 性 较 好 J s o n . N E T ， 这 个 虽 不 是 微 软 的 类 库 ， 但 却 是 一 个 开 源 的 世 界 级 的 J s o n 操 作 类 库 ， 从 下 面 的 性 能 对 比 就 可 以 看 到 它 的 性 能 优 点 。 用 它 可 轻 松 实 现 . N e t 中 所 有 类 型 ( 对 象 , 基 本 数 据 类 型 等 ) 同 J s o n 之 间 的 转 换 ， 在 带 来 便 捷 的 同 时 也 隐 藏 了 很 大 的 安 全 隐 患 ， 在 某 些 场 景 下 开 发 者 使 用 D e s e r i a l i z e O b j e c t 方 法 序 列 化 不 安 全 的 数 据 ， 就 会 造 成 反 序 列 化 漏 洞 从 而 实 现 远 程 R C E 攻 击 ， 本 文 笔 者 从 原 理 和 代 码 审 计 的 视 角 做 了 相 关 介 绍 和 复 现 。 0 X 0 1   J s o n . N e t 序 列 化 序 列 化 在 N e w t o n s o f t . J s o n 中 使 用 J S O N S e r i a l i z e r 可 以 非 常 方 便 的 实 现 . N E T 对 象 与 J s o n 之 间 的 转 化 ， J S O N S e r i a l i z e r 把 . N E T 对 象 的 属 性 名 转 化 为 J s o n 数 据 中 的 K e y ， 把 对 象 的 属 性 值 转 化 为 J s o n 数 据 中 的 V a l u e ， 如 下 D e m o ， 定 义 T e s t C l a s s 对 象
并 有 三 个 成 员 ， C l a s s n a m e 在 序 列 化 的 过 程 中 被 忽 略 （ J s o n I g n o r e ） ， 此 外 实 现 了 一 个 静 态 方 法 C l a s s M e t h o d 启 动 进 程 。 序 列 化 过 程 通 过 创 建 对 象 实 例 分 别 给 成 员 赋 值 ， 用 J s o n C o n v e r t . S e r i a l i z e O b j e c t 得 到 序 列 化 后 的 字 符 串 J s o n 字 符 串 中 并 没 有 包 含 方 法 C l a s s M e t h o d ， 因 为 它 是 静 态 方 法 ， 不 参 与 实 例 化 的 过 程 ， 自 然 在 t e s t C l a s s 这 个 对 象 中 不 存 在 。 这 就 是 一 个 最 简 单 的 序 列 化 D e m o 。 为 了 尽 量 保 证 序 列 化 过 程 不 抛 出 异 常 ， 笔 者 引 入   S e r i a l i z e O b j e c t 方 法 的 第 二 个 参 数 并 实 例 化 创 建 J s o n S e r i a l i z e r S e t t i n g s ， 下 面 列 出 属 性
修 改 代 码 添 加   T y p e N a m e A s s e m b l y F o r m a t H a n d l i n g . F u l l 、 T y p e N a m e H a n d l i n g . A L L 将 代 码 改 成 这 样 后 得 到 的 t e s t S t r i n g 变 量 值 才 是 笔 者 想 要 的 ， 打 印 的 数 据 中 带 有 完 整 的 程 序 集 名 等 信 息 。 0 x 0 2   J s o n . N e t 反 序 列 化 反 序 列 化 2 . 1 、 反 序 列 化 用 法 、 反 序 列 化 用 法 反 序 列 过 程 就 是 将 J s o n 字 符 串 转 换 为 对 象 ， 通 过 创 建 一 个 新 对 象 的 方 式 调 用 J s o n C o n v e r t . D e s e r i a l i z e O b j e c t 方 法 实 现 的 ， 传 入 两 个 参 数 ， 第 一 个 参 数 需 要 被 序 列 化 的 字 符 串 、 第 二 个 参 数 设 置 序 列 化 配 置 选 项 来 指 定 J s o n S e r i a l i z e r 按 照 指 定 的 类 型 名 称 处 理 ， 其 中 T y p e N a m e H a n d l i n g 可 选 择 的 成 员 分 为 五 种 默 认 情 况 下 设 置 为 T y p e N a m e H a n d l i n g . N o n e ， 表 示 J s o n . N E T 在 反 序 列 化 期 间 不 读 取 或 写 入 类 型 名 称 。 具 体 代 码 可 参 考 以 下 2 . 2 、 攻 击 向 量 、 攻 击 向 量 — O b j e c t D a t a P r o v i d e r 漏 洞 的 触 发 点 也 是 在 于 T y p e N a m e H a n d l i n g 这 个 枚 举 值 ， 如 果 开 发 者 设 置 为 非 空 值 、 也 就 是 对 象 （ O b j e c t s ）   、 数 组 （ A r r a y s ）   、 自 动 识 别 ( A u t o )   、 所 有 值 ( A L L )   的 时 候 都 会 造 成 反 序 列 化 漏 洞 ， 为 此 官 方 文 档 里 也 标 注 了 警 告 ， 当 您 的 应 用 程 序 从 外 部 源 反 序 列 化 J S O N 时 应 谨 慎 使 用 T y p e N a m e H a n d l i n g 。  
笔 者 继 续 选 择 O b j e c t D a t a P r o v i d e r 类 方 便 调 用 任 意 被 引 用 类 中 的 方 法 ， 具 体 有 关 此 类 的 用 法 可 以 看 一 下 《 . N E T 高 级 代 码 审 计 （ 第 一 课 ） X m l S e r i a l i z e r 反 序 列 化 漏 洞 》 ， 首 先 来 序 列 化 T e s t C l a s s   指 定 T y p e N a m e H a n d l i n g . A l l 、 T y p e N a m e A s s e m b l y F o r m a t H a n d l i n g . F u l l 后 得 到 序 列 化 后 的 J s o n 字 符 串 如 何 构 造 S y s t e m . D i a g n o s t i c s . P r o c e s s 序 列 化 的 J s o n 字 符 串 呢 ？ 笔 者 需 要 做 的 工 作 替 换 掉 O b j e c t I n s t a n c e 的 $ t y p e 、 M e t h o d N a m e 的 值 以 及 M e t h o d P a r a m e t e r s 的 $ t y p e 值 ， 删 除 一 些 不 需 要 的 M e m b e r 、 最 终 得 到 的 反 序 列 话 J s o n 字 符 串 如 下
再 经 过 J s o n C o n v e r t . D e s e r i a l i z e O b j e c t 反 序 列 化 （ 注 意 一 点 指 定 T y p e N a m e H a n d l i n g 的 值 一 定 不 能 是 N o n e ） ， 成 功 弹 出 计 算 器 。 2 . 3 、 攻 击 向 量 、 攻 击 向 量 — W i n d o w s I d e n t i t y W i n d o w s I d e n t i t y 类 位 于 S y s t e m . S e c u r i t y . P r i n c i p a l 命 名 空 间 下 。 顾 名 思 义 ， 用 于 表 示 基 于 W i n d o w s 认 证 的 身 份 ， 认 证 是 安 全 体 系 的 第 一 道 屏 障 肩 负 着 守 护 着 整 个 应 用 或 者 服 务 的 第 一 道 大 门 ， 此 类 定 义 了 W i n d o w s 身 份 一 系 列 属 性
对 于 用 于 表 示 认 证 类 型 的 A u t h e n t i c a t i o n T y p e 属 性 来 说 ， 在 工 作 组 模 式 下 返 回 N T L M 。 对 于 域 模 式 ， 如 果 操 作 系 统 是 V i s t a 或 者 以 后 的 版 本 ， 该 属 性 返 回 N e g o t i a t e ， 表 示 采 用 S P N E G O 认 证 协 议 。 而 对 于 之 前 的 W i n d o w s 版 本 ， 则 该 属 性 值 为 K e r b e r o s 。 G r o u p s 属 性 返 回 W i n d o w s I d e n t i t y 对 应 的 W i n d o w s 帐 号 所 在 的 用 户 组 （ U s e r   G r o u p ） ， 而 I s G u e s t 则 用 于 判 断 W i n d o w s 帐 号 是 否 存 在 于 G u e s t 用 户 组 中 。 I s S y s t e m 属 性 则 表 示 W i n d o w s 帐 号 是 否 是 一 个 系 统 帐 号 。 对 于 匿 名 登 录 ， I I S 实 际 上 会 采 用 一 个 预 先 指 定 的 W i n d o w s 帐 号 进 行 登 录 。 而 在 这 里 ， I s A n o n y m o u s 属 性 就 表 示 该 W i n d o w s I d e n t i t y 对 应 的 W i n d o w s 帐 号 是 否 是 匿 名 帐 号 。 2 . 3 . 1 、 、 I S e r i a l i z a b l e 跟 踪 定 义 得 知 继 承 于 C l a i m s I d e n t i t y 类 ， 并 且 实 现 了 I S e r i a l i z a b l e 接 口 查 看 定 义 得 知 ， 只 有 一 个 方 法 G e t O b j e c t D a t a 在 . N E T 运 行 时 序 列 化 的 过 程 中 C L R 提 供 了 控 制 序 列 化 数 据 的 特 性 ， 如 ： O n S e r i a l i z i n g 、 O n S e r i a l i z e d 、 N o n S e r i a l i z e d 等 。 为 了 对 序 列 化 数 据 进 行 完 全 控 制 ， 就 需 要 实 现 S e r i a l i z a t i o n . I S e r a l i z a b l e 接 口 ， 这 个 接 口 只 有 一 个 方 法 ， 即   G e t O b j e c t D a t a ， 第 一 个 参 数 S e r i a l i z a t i o n I n f o 包 含 了 要 为 对 象 序 列 化 的 值 的 合 集 ， 传 递 两 个 参 数 给 它 ： T y p e 和 I F o r m a t t e r C o n v e r t e r ， 其 中 T y p e 参 数 表 示 要 序 列 化 的 对 象 全 名 （ 包 括 了 程 序 集 名 、 版 本 、 公 钥 等 ） ， 这 点 对 于 构 造 恶 意 的 反 序 列 化 字 符 串 至 关 重 要
另 一 方 面 G e t O b j e c t D a t a 又 调 用 S e r i a l i z a t i o n I n f o 类 提 供 的 A d d V a l u e 多 个 重 载 方 法 来 指 定 序 列 化 的 信 息 ， A d d V a l u e 添 加 的 是 一 组 < k e y , v a l u e >   ； G e t O b j e c t D a t a 负 责 添 加 好 所 有 必 要 的 序 列 化 信 息 。 2 . 3 . 2 、 、 C l a i m s I d e n t i t y C l a i m s I d e n t i t y （ 声 称 标 识 ） 位 于 S y s t e m . S e c u r i t y . C l a i m s 命 名 空 间 下 ， 首 先 看 下 类 的 定 义 其 实 就 是 一 个 个 包 含 了 c l a i m s 构 成 的 单 元 体 ， 举 个 栗 子 ： 驾 照 中 的 “ 身 份 证 号 码 ： 0 0 0 0 0 0 ” 是 一 个 c l a i m 、 持 证 人 的 “ 姓 名 :   I v a n 1 e e ” 是 另 一 个 c l a i m 、 这 一 组 键 值 对 构 成 了 一 个 I d e n t i t y ， 具 有 这 些 c l a i m s 的 I d e n t i t y 就 是 C l a i m s I d e n t i t y ， 通 常 用 在 登 录 C o o k i e 验 证 ， 如 下 代 码 一 般 使 用 的 场 景 我 想 已 经 说 明 白 了 ， 现 在 来 看 下 类 的 成 员 有 哪 些 ， 能 赋 值 的 又 有 哪 些 ？ 参 考 官 方 文 档 可 以 看 到   L a b l e 、 B o o t s t r a p C o n t e x t 、 A c t o r 三 个 属 性 具 备 了 s e t
查 阅 文 档 可 知 ， 这 几 个 属 性 的 原 始 成 员 分 别 为 a c t o r 、 b o o t s t r a p C o n t e x t 、 l a b l e 如 下 C l a i m s I d e n t i t y 类 初 始 化 方 法 有 两 个 重 载 ， 并 且 通 过 前 文 介 绍 的 S e r i a l i z a t i o n I n f o 来 传 入 数 据 ， 最 后 用 D e s e r i a l i z e 反 序 列 化 数 据 。
追 溯 的 过 程 有 点 像 框 架 类 的 代 码 审 计 ， 跟 踪 到 D e s e r i a l i z e 方 法 体 内 ， 查 找 B o o t s t r a p C o n t e x t K e y 才 知 道 原 来 它 还 需 要 被 外 层 b a s e 6 4 解 码 后 带 入 反 序 列 化 2 . 3 . 3 、 打 造 、 打 造 P o c 回 过 头 来 想 一 下 ， 如 果 使 用 G e t O b j e c t D a t a 类 中 的 A d d V a l u e 方 法 添 加 “ k e y   :   S y s t e m . S e c u r i t y . C l a i m s I d e n t i t y . b o o t s t r a p C o n t e x t “ 、 ” v a l u e   :     b a s e 6 4 编 码 后 的 p a y l o a d “ ， 最 后 实 现 S y s t e m . S e c u r i t y . P r i n c i p a l . W i n d o w s I d e n t i t y . I S e r i a l i z a b l e 接 口 就 能 攻 击 成 功 。 首 先 定 义 W i n d o w s I d e n t i t y T e s t 类 笔 者 用 y s o s e r i a l 生 成 反 序 列 化 B a s e 6 4   P a y l o a d 赋 值 给 B o o t s t r a p C o n t e x t K e y ， 实 现 代 码 如 下 到 这 步 生 成 变 量 o b j 1 的 值 就 是 一 段 p o c ， 但 还 需 改 造 一 下 ， 将 $ t y p e 值 改 为 S y s t e m . S e c u r i t y . P r i n c i p a l . W i n d o w s I d e n t i t y 完 全 限 定 名
最 后 改 进 后 交 给 反 序 列 化 代 码 执 行 ， 抛 出 异 常 之 前 触 发 计 算 器 ， 效 果 如 下 图 0 x 0 3 代 码 审 计 视 角 代 码 审 计 视 角 从 代 码 审 计 的 角 度 其 实 很 容 易 找 到 漏 洞 的 污 染 点 ， 通 过 前 面 几 个 小 节 的 知 识 能 发 现 需 要 满 足 一 个 关 键 条 件 非 T y p e N a m e H a n d l i n g . N o n e 的 枚 举 值 都 可 以 被 反 序 列 化 ， 例 如 以 下 J s o n 类 都 设 置 成 T y p e N a m e H a n d l i n g . A l l ， 攻 击 者 只 需 要 控 制 传 入 参 数   _ i n 便 可 轻 松 实 现 反 序 列 化 漏 洞 攻 击 。 G i t h u b 上 很 多 的 j s o n 类 存 在 漏 洞 ， 例 如 下 图
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理