搜索

[2100] 2019-04-16_.NET高级代码审计（第九课）BinaryFormatter反序列化漏洞

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2019-04-16_.NET高级代码审计（第九课）BinaryFormatter反序列化漏洞 . N E T 高 级 代 码 审 计 （ 第 九 课 ）   B i n a r y F o r m a t t e r 反 序 列 化 漏 洞 原 创   I v a n 1 e e   d o t N e t 安 全 研 究 僧   2 0 1 9 - 0 4 - 1 6 一 、 前 言 B i n a r y F o r m a t t e r 和 S o a p F o r m a t t e r 两 个 类 之 间 的 区 别 在 于 数 据 流 的 格 式 不 同 ， 其 他 的 功 能 上 两 者 差 不 多 ， B i n a r y F o r m a t t e r 位 于 命 名 空 间 S y s t e m . R u n t i m e . S e r i a l i z a t i o n . F o r m a t t e r s . B i n a r y 它 是 直 接 用 二 进 制 方 式 把 对 象 进 行 序 列 化 ， 优 点 是 速 度 较 快 ， 在 不 同 版 本 的 . N E T 平 台 里 都 可 以 兼 容 。 但 是 使 用 反 序 列 化 不 受 信 任 的 二 进 制 文 件 会 导 致 反 序 列 化 漏 洞 从 而 实 现 远 程 R C E 攻 击 ， 本 文 笔 者 从 原 理 和 代 码 审 计 的 视 角 做 了 相 关 介 绍 和 复 现 。 二 、 序 列 化 使 用 B i n a r y F o r m a t t e r 类 序 列 化 的 过 程 中 ， 用 [ S e r i a l i z a b l e ] 声 明 这 个 类 是 可 以 被 序 列 化 的 ， 当 然 有 些 不 想 被 序 列 化 的 元 素 可 以 用 [ N o S e r i a l i z e d ] 属 性 来 规 避 。 下 面 通 过 一 个 实 例 来 说 明 问 题 ， 首 先 定 义 T e s t C l a s s 对 象 定 义 了 三 个 成 员 ， 并 实 现 了 一 个 静 态 方 法 C l a s s M e t h o d 启 动 进 程 。   序 列 化 通 过 创 建 对 象 实 例 分 别 给 成 员 赋 值   常 规 下 使 用 S e r i a l i z e 得 到 序 列 化 后 的 二 进 制 文 件 内 容 打 开 后 显 示 的 数 据 格 式 如 下
三 、 反 序 列 化 3 . 1 、 反 序 列 化 用 法 、 反 序 列 化 用 法 反 序 列 过 程 是 将 二 进 制 数 据 转 换 为 对 象 ， 通 过 创 建 一 个 新 对 象 的 方 式 调 用 D e s e r i a l i z e 多 个 重 载 方 法 实 现 的 ， 查 看 定 义 可 以 看 出 和 S o a p F o r m a t t e r 格 式 化 器 一 样 实 现 了 I R e m o t i n g F o r m a t t e r 、 I F o r m a t t e r 接 口 我 们 得 到 系 统 提 供 的 四 个 不 同 的 反 序 列 方 法 ， 分 别 是 D e s e r i a l i z e 、 D e s e r i a l i z e M e t h o d R e s p o n s e 、 U n s a f e D e s e r i a l i z e 、 U n s a f e D e s e r i a l i z e M e t h o d R e s p o n s e 。 笔 者 通 过 创 建 新 对 象 的 方 式 调 用 D e s e r i a l i z e 方 法 实 现 的 具 体 实 现 代 码 可 参 考 以 下 反 序 列 化 后 得 到 T e s t C l a s s 类 的 成 员 N a m e 的 值 。 3 . 2 、 攻 击 向 量 、 攻 击 向 量 — A c t i v i t y S u r r o g a t e S e l e c t o r 由 于 上 一 篇 中 已 经 介 绍 了 漏 洞 的 原 理 ， 所 以 本 篇 就 不 再 冗 余 的 叙 述 ， 没 有 看 的 朋 友 请 参 考 《 . N E T 高 级 代 码 审 计 （ 第 八 课 ）   S o a p F o r m a t t e r 反 序 列 化 漏 洞 》 ， 两 者 之 间 唯 一 的 区 别 是 用 了 B i n a r y F o r m a t t e r 类 序 列 化 数 据 ， 同 样 也 是 通 过 重 写 I S e r i a l i z a t i o n S u r r o g a t e   调 用 自 定 义 代 码 ， 笔 者 这 里 依 旧 用 计 算 器 做 演 示 ， 生 成 的 二 进 制 文 件 打 开 后 如 下 图
按 照 惯 例 用 B i n a r y F o r m a t t e r 类 的 D e s e r i a l i z e 方 法 反 序 列 化 计 算 器 弹 出 ， 但 同 时 也 抛 出 了 异 常 ， 这 在 W E B 服 务 情 况 下 会 返 回 5 0 0 错 误 。 3 . 3 、 攻 击 向 量 、 攻 击 向 量 — W i n d o w s I d e n t i t y 有 关 W i n d o w s I d e n t i t y 原 理 没 有 看 的 朋 友 请 参 考 《 . N E T 高 级 代 码 审 计 （ 第 二 课 ）   J s o n . N e t 反 序 列 化 漏 洞 》 ， 因 为 W i n d o w s I d e n t i t y 最 终 是 解 析 B a s e 6 4 编 码 后 的 数 据 ， 所 以 这 里 将 S e r i a l i z e r 后 的 二 进 制 文 件 反 序 列 化 后 弹 出 计 算 器
四 、 代 码 审 计 4 . 1 、 、 U n s a f e D e s e r i a l i z e 从 代 码 审 计 的 角 度 找 到 漏 洞 的 E n t r y P o i n t ， 相 比 D e s e r i a l i z e ， U n s a f e D e s e r i a l i z e 提 供 了 更 好 的 性 能 ， 这 个 方 法 需 要 传 入 两 个 必 选 参 数 ， 第 二 个 参 数 可 以 为 n u l l ， 这 种 方 式 不 算 很 常 见 的 ， 需 要 了 解 一 下 ， 下 面 是 不 安 全 的 代 码 ： 攻 击 者 只 需 要 控 制 传 入 字 符 串 参 数 p a t h 便 可 轻 松 实 现 反 序 列 化 漏 洞 攻 击 。 4 . 2 、 、 U n s a f e D e s e r i a l i z e M e t h o d R e s p o n s e 相 比 D e s e r i a l i z e M e t h o d R e s p o n s e ， U n s a f e D e s e r i a l i z e M e t h o d R e s p o n s e 性 能 上 更 加 出 色 ， 这 个 方 法 需 要 传 入 三 个 必 选 参 数 ， 第 二 和 第 三 个 参 数 都 可 为 n u l l ， 这 种 方 式 也 不 算 很 常 见 ， 只 需 要 了 解 一 下 ， 下 面 是 不 安 全 的 代 码 ：
4 . 3 、 、 D e s e r i a l i z e D e s e r i a l i z e 方 法 很 常 见 ， 开 发 者 通 常 用 这 个 方 法 反 序 列 化 ， 此 方 法 有 两 个 重 载 ， 下 面 是 不 安 全 的 代 码 4 . 4 、 、 D e s e r i a l i z e M e t h o d R e s p o n s e 相 比 D e s e r i a l i z e ， D e s e r i a l i z e M e t h o d R e s p o n s e 可 对 远 程 方 法 响 应 提 供 的 S t r e a m 流 进 行 反 序 列 化 ， 这 个 方 法 需 要 传 入 三 个 必 选 参 数 ， 第 二 和 第 三 个 参 数 都 可 为 n u l l ， 这 种 方 式 也 不 算 很 常 见 ， 只 需 要 了 解 一 下 ， 下 面 是 不 安 全 的 代 码 ： 最 后 用 这 个 方 法 弹 出 计 算 器 ， 附 上 动 图 五 、 总 结 实 际 开 发 中 B i n a r y F o r m a t t e r   类 从 . N E T   F r a m e w o r k   2 . 0 开 始 ， 官 方 推 荐 使 用 B i n a r y F o r m a t t e r 来 替 代 S o a p F o r m a t t e r ， 特 点 是 B i n a r y F o r m a t t e r 能 更 好
的 支 持 泛 型 等 数 据 ， 而 在 反 序 列 化 二 进 制 文 件 时 要 注 意 数 据 本 身 的 安 全 性 ， 否 则 就 会 产 生 反 序 列 化 漏 洞 。 最 后 . N E T 反 序 列 化 系 列 课 程 笔 者 会 同 步 到   h t t p s : / / g i t h u b . c o m / I v a n 1 e e / 、 h t t p s : / / i v a n 1 e e . g i t b o o k . i o / ， 后 续 笔 者 将 陆 续 推 出 高 质 量 的 . N E T 反 序 列 化 漏 洞 文 章 ， 欢 迎 大 伙 持 续 关 注 ， 交 流 ， 更 多 的 . N E T 安 全 和 技 巧 可 关 注 实 验 室 公 众 号 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理