搜索

[2099] 2019-04-15_.NET高级代码审计（第八课）SoapFormatter反序列化漏洞

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-16
2019-04-15_.NET高级代码审计（第八课）SoapFormatter反序列化漏洞 . N E T 高 级 代 码 审 计 （ 第 八 课 ）   S o a p F o r m a t t e r 反 序 列 化 漏 洞 原 创   I v a n 1 e e   d o t N e t 安 全 研 究 僧   2 0 1 9 - 0 4 - 1 5 一 、 前 言 S o a p F o r m a t t e r 格 式 化 器 和 下 节 课 介 绍 的 B i n a r y F o r m a t t e r 格 式 化 器 都 是 . N E T 内 部 实 现 的 序 列 化 功 能 的 类 ， S o a p F o r m a t t e r 直 接 派 生 自 S y s t e m . O b j e c t ， 位 于 命 名 空 间 S y s t e m . R u n t i m e . S e r i a l i z a t i o n . F o r m a t t e r s . S o a p ， 并 实 现 I R e m o t i n g F o r m a t t e r 、 、 I F o r m a t t e r 接 口 ， 用 于 将 对 象 图 持 久 化 为 一 个 S O A P 流 ， S O A P 是 基 于 X M L 的 简 易 协 议 ， 让 应 用 程 序 在 H T T P 上 进 行 信 息 交 换 用 的 。 但 在 某 些 场 景 下 处 理 了 不 安 全 的 S O A P 流 会 造 成 反 序 列 化 漏 洞 从 而 实 现 远 程 R C E 攻 击 ， 本 文 笔 者 从 原 理 和 代 码 审 计 的 视 角 做 了 相 关 介 绍 和 复 现 。 二 、 序 列 化 S o a p F o r m a t t e r 类 实 现 的 I F o r m a t t e r 接 口 中 定 义 了 核 心 的 S e r i a l i z e 方 法 可 以 非 常 方 便 的 实 现 . N E T 对 象 与 S O A P 流 之 间 的 转 换 ， 可 以 将 数 据 保 存 为 X M L 文 件 ， 官 方 提 供 了 两 个 构 造 方 法 。 下 面 还 是 用 老 案 例 来 说 明 问 题 ， 首 先 定 义 T e s t C l a s s 对 象 定 义 了 三 个 成 员 ， 并 实 现 了 一 个 静 态 方 法 C l a s s M e t h o d 启 动 进 程 。   序 列 化 通 过 创 建 对 象 实 例 分 别 给 成 员 赋 值   常 规 下 使 用 S e r i a l i z e 得 到 序 列 化 后 的 S O A P 流 ， 通 过 使 用 X M L 命 名 空 间 来 持 久 化 原 始 程 序 集 ， 例 如 下 图 T e s t C l a s s 类 的 开 始 元 素 使 用 生 成 的 x m l n s 进 行 限 定 ， 关 注 a 1   命 名 空 间 < S O A P - E N V : E n v e l o p e x m l n s : x s i = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a - i n s t a n c e " x m l n s : x s d = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a " x m l n s : S O A P - E N C = " h t t p : / / s c h e m a s . x m l s o a p . o r g / s o a p / e n c o d i n g / " x m l n s : S O A P -
E N V = " h t t p : / / s c h e m a s . x m l s o a p . o r g / s o a p / e n v e l o p e / " x m l n s : c l r = " h t t p : / / s c h e m a s . m i c r o s o f t . c o m / s o a p / e n c o d i n g / c l r / 1 . 0 " S O A P - E N V : e n c o d i n g S t y l e = " h t t p : / / s c h e m a s . x m l s o a p . o r g / s o a p / e n c o d i n g / " > < S O A P - E N V : B o d y > < a 1 : T e s t C l a s s i d = " r e f - 1 " x m l n s : a 1 = " h t t p : / / s c h e m a s . m i c r o s o f t . c o m / c l r / n s a s s e m / W p f A p p 1 / W p f A p p 1 % 2 C % 2 0 V e r s i o n % 3 D 1 . 0 . 0 . 0 % 2 C % 2 0 C u l t u r e % 3 D n e u t r a l % 2 C % 2 0 P u b l i c K e y T o k e n % 3 D n u l l " > < c l a s s n a m e i d = " r e f - 3 " > 3 6 0 < / c l a s s n a m e > < n a m e i d = " r e f - 4 " > I v a n 1 e e < / n a m e > < a g e > 1 8 < / a g e > < / a 1 : T e s t C l a s s > < / S O A P - E N V : B o d y > < / S O A P - E N V : E n v e l o p e > 三 、 反 序 列 化 3 . 1 、 反 序 列 化 用 法 、 反 序 列 化 用 法 S o a p F o r m a t t e r 类 反 序 列 化 过 程 是 将 S O A P 消 息 流 转 换 为 对 象 ， 通 过 创 建 一 个 新 对 象 的 方 式 调 用 D e s e r i a l i z e 多 个 重 载 方 法 实 现 的 ， 查 看 定 义 得 知 实 现 了 I R e m o t i n g F o r m a t t e r 、 I F o r m a t t e r 接 口 ， 查 看 I R e m o t i n g F o r m a t t e r 接 口 定 义 得 知 也 是 继 承 了 I F o r m a t t e r 笔 者 通 过 创 建 新 对 象 的 方 式 调 用 D e s e r i a l i z e 方 法 实 现 的 具 体 实 现 代 码 可 参 考 以 下 反 序 列 化 后 得 到 T e s t C l a s s 类 的 成 员 N a m e 的 值 。
3 . 2 、 攻 击 向 量 、 攻 击 向 量 — A c t i v i t y S u r r o g a t e S e l e c t o r 在 S o a p F o r m a t t e r 类 的 定 义 中 除 了 构 造 函 数 外 ， 还 有 一 个 S u r r o g a t e S e l e c t o r 属 性 ， S u r r o g a t e S e l e c t o r 便 是 代 理 选 择 器 ， 序 列 化 代 理 的 好 处 在 于 一 旦 格 式 化 器 要 对 现 有 类 型 的 实 例 进 行 反 序 列 化 ， 就 调 用 由 代 理 对 象 自 定 义 的 方 法 。 查 看 得 知 实 现 了 I S u r r o g a t e S e l e c t o r 接 口 ， 定 义 如 下 因 为 序 列 化 代 理 类 型 必 须 实 现 S y s t e m . R u n t i m e . S e r i a l i z a t i o n . I S e r i a l i z a t i o n S u r r o g a t e 接 口 ， I S e r i a l i z a t i o n S u r r o g a t e 在 F r a m e w o r k   C l a s s L i b r a r y 里 的 定 义 如 下 ： 图 中 的 G e t O b j e c t D a t a 方 法 在 对 象 序 列 化 时 进 行 调 用 ， 目 的 将 值 添 加 到 S e r i a l i z a t i o n I n f o 集 合 里 ， 而 S e t O b j e c t D a t a 方 法 用 于 反 序 列 化 ， 调 用 这 个 方 法 的 时 候 需 要 传 递 一 个 S e r i a l i z a t i o n I n f o 对 象 引 用 ， 换 句 话 说 就 是 使 用 换 句 话 说 就 是 使 用 S o a p F o r m a t t e r 类 的 类 的 S e r i a l i z e 方 法 的 时 候 会 调 用 方 法 的 时 候 会 调 用 G e t O b j e c t D a t a 方 法 ， 使 用 方 法 ， 使 用 D e s e r i a l i z e 会 调 用 会 调 用 S e t O b j e c t D a t a 方 法 。 方 法 。 S o a p F o r m a t t e r 类 还 有 一 个 非 常 重 要 的 属 性 S u r r o g a t e S e l e c t o r ， 定 义 如 下 在 序 列 化 对 象 的 时 候 如 果 属 性 S u r r o g a t e S e l e c t o r 属 性 的 值 非 N U L L 便 会 以 这 个 对 象 的 类 型 为 参 数 调 用 其 G e t S u r r o g a t e 方 法 ， 如 果 此 方 法 返 回 一 个 有 效 的 对 象 I S e r i a l i z a t i o n S u r r o g a t e ， 这 个 对 象 对 找 到 的 类 型 进 行 反 序 列 化 ， 这 里 就 是 一 个 关 键 的 地 方 ， 我 们 要 做 的 就 是 实 现 重 写 I S e r i a l i z a t i o n S u r r o g a t e 调 用 自 定 义 代 码 ， 如 下 D e m o 代 码 中 判 断 类 型 解 析 器 I s S e r i a l i z a b l e 属 性 是 否 可 用 ， 如 果 可 用 直 接 基 类 返 回 ， 如 果 不 可 用 就 获 取 派 生 类 C o m p o n e n t M o d e l . S e r i a l i z a t i o n . A c t i v i t y S u r r o g a t e S e l e c t o r ， 然 后 交 给 A c t i v a t o r 创 建 实 例 再 回 到 G e t O b j e c t D a t a 方 法 体 内 ， 另 外 为 了 对 序 列 化 数 据 进 行 完 全 控 制 ， 就 需 要 实 现 S e r i a l i z a t i o n . I S e r a l i z a b l e 接 口 ， 定 义 如 下 ：
有 关 更 多 的 介 绍 请 参 考 《 . N E T 高 级 代 码 审 计 第 二 课   J s o n . N e t 反 序 列 化 漏 洞 》 ， 在 实 现 自 定 义 反 序 列 类 的 时 通 过 构 造 方 法 读 取 攻 击 者 提 供 的 P o c C l a s s 类 图 定 义 了 P a y l o a d C l a s s 类 实 现 I S e r i a l i z a b l e 接 口 ， 然 后 在 G e t O b j e c t D a t a 方 法 里 又 声 明 泛 型 L i s t 集 合 接 收 b y t e 类 型 的 数 据 将 P o c C l a s s 对 象 添 加 到 L i s t 集 合 ， 声 明 泛 型 使 用 I E n u m e r a b l e 集 合 m a p _ t y p e 接 收 程 序 集 反 射 得 到 的 T y p e 并 返 回 I E n u m e r a b l e 类 型 ， 最 后 用 A c t i v a t o r . C r e a t e I n s t a n c e 创 建 实 例 保 存 到 e 3 此 时 是 一 个 枚 举 集 合 的 迭 代 器 。 上 图 将 变 量 e 3 填 充 到 了 分 页 控 件 数 据 源 ， 查 看 P a g e D a t a S o u r c e 类 定 义 一 目 了 然 ，
除 此 之 外 S y s t e m . R u n t i m e . R e m o t i n g . C h a n n e l s . A g g r e g a t e D i c t i o n a r y 返 回 的 类 型 支 持 I D i c t i o n a r y ， 然 后 实 例 化 对 象 D e s i g n e r V e r b 并 随 意 赋 值 ， 此 类 主 要 为 了 配 合 填 充 M e n u C o m m a n d 类 p r o p e r t i e s 属 性 的 值 ， 最 后 为 哈 希 表 中 的 符 合 条 件 的 b u c k e t s 赋 值 。   接 下 来 用 集 合 添 加 数 据 源 D a t a S e t ， D a t a S e t 和 D a t a T a b l e 对 象 继 承 自 S y s t e m . C o m p o n e n t M o d e l . M a r s h a l B y V a l u e C o m p o n e n t 类 ， 可 序 列 化 数 据 并 支 持 远 程 处 理 I S e r i a l i z a b l e 接 口 ， 这 是 A D O . N E T 对 象 中 仅 有 支 持 远 程 处 理 的 对 象 ， 并 以 二 进 制 格 式 进 行 持 久 化 。 更 改 属 性 D a t a S e t . R e m o t i n g F o r m a t 值 为 S e r i a l i z a t i o n F o r m a t . B i n a r y ， 更 改 属 性 D a t a S e t . C a s e S e n s i t i v e 为 f a l s e 等 ， 再 调 用 B i n a r y F o r m a t t e r 序 列 化 L i s t 集 合 ， 如 下 图 。 因 为 指 定 了 R e m o t i n g F o r m a t 属 性 为 B i n a r y ， 所 以 引 入 了 B i n a r y F o r m a t t e r 格 式 化 器 并 指 定 属 性 S u r r o g a t e S e l e c t o r 代 理 器 为 自 定 义 的 M y S u r r o g a t e S e l e c t o r 类 。 序 列 化 后 得 到 S O A P - X M L ， 再 利 用 S o a p F o r m a t t e r 对 象 的 D e s e r i a l i z e 方 法 解 析 读 取 文 件 内 容 的 流 数 据 ， 成 功 弹 出 计 算 器
3 . 3 、 攻 击 向 量 、 攻 击 向 量 — P S O b j e c t 由 于 笔 者 的 W i n d o w s 主 机 打 过 了 C V E - 2 0 1 7 - 8 5 6 5 （ W i n d o w s   P o w e r S h e l l 远 程 代 码 执 行 漏 洞 ） 的 补 丁 ， 利 用 不 成 功 ， 所 以 在 这 里 不 做 深 入 探 讨 ， 有 兴 趣 的 朋 友 可 以 自 行 研 究 。 有 关 于 补 丁 的 详 细 信 息 参 考 ： h t t p s : / / s u p p o r t . m i c r o s o f t . c o m / z h - c n / h e l p / 4 0 2 5 8 7 2 / w i n d o w s - p o w e r s h e l l - r e m o t e - c o d e - e x e c u t i o n - v u l n e r a b i l i t y 四 、 代 码 审 计 4 . 1 、 、 X M L 载 入 载 入 从 代 码 审 计 的 角 度 找 到 漏 洞 的 E n t r y P o i n t ， 传 入 X M L ， 就 可 以 被 反 序 列 化 ， 这 种 方 式 也 是 很 常 见 的 ， 需 要 关 注 一 下 ， L o a d X m l 直 接 载 入 x m l 数 据 ， 这 个 点 也 可 以 造 成 X X E 漏 洞 。 例 如 这 段 代 码 ： 这 种 污 染 点 漏 洞 攻 击 成 本 很 低 ， 攻 击 者 只 需 要 控 制 传 入 字 符 串 参 数 s o u r c e 便 可 轻 松 实 现 反 序 列 化 漏 洞 攻 击 ， 弹 出 计 算 器 。
4 . 2 、 、 F i l e 读 取 读 取 这 段 是 摘 自 某 个 应 用 的 代 码 片 段 ， 在 审 计 的 时 候 只 需 要 关 注 D e s e r i a l i z e S O A P 方 法 中 传 入 的 p a t h 变 量 是 否 可 控 。 五 、 总 结 实 际 开 发 中 S o a p F o r m a t t e r   类 从 . N E T   F r a m e w o r k   2 . 0 开 始 ， 这 个 类 已 经 渐 渐 过 时 了 ， 开 发 者 选 择 它 的 概 率 也 越 来 越 少 ， 官 方 注 明 用 B i n a r y F o r m a t t e r 来 替 代 它 ， 下 篇 笔 者 接 着 来 介 绍 B i n a r y F o r m a t t e r 反 序 列 化 漏 洞 。 最 后 . N E T 反 序 列 化 系 列 课 程 笔 者 会 同 步 到   h t t p s : / / g i t h u b . c o m / I v a n 1 e e / 、 h t t p s : / / i v a n 1 e e . g i t b o o k . i o / ， 后 续 笔 者 将 陆 续 推 出 高 质 量 的 . N E T 反 序 列 化 漏 洞 文 章 ， 欢 迎 大 伙 持 续 关 注 ， 交 流 ， 更 多 的 . N E T 安 全 和 技 巧 可 关 注 实 验 室 公 众 号 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理