Basic .Net deserialization (ObjectDataProvider gadget, ExpandedWrapper, and Json.Net)
PreviousCommonsCollection1 Payload - Java Transformers to Rutime exec() and Thread SleepNextExploiting __VIEWSTATE knowing the secrets
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Esta publicación está dedicada a entender cómo se explota el gadget ObjectDataProvider para obtener RCE y cómo las bibliotecas de Serialización Json.Net y xmlSerializer pueden ser abusadas con ese gadget.
De la documentación: la clase ObjectDataProvider envuelve y crea un objeto que puedes usar como fuente de enlace. Sí, es una explicación extraña, así que veamos qué tiene de interesante esta clase: Esta clase permite envolver un objeto arbitrario, usar MethodParameters para establecer parámetros arbitrarios, y luego usar MethodName para llamar a una función arbitraria del objeto arbitrario declarado usando los parámetros arbitrarios. Por lo tanto, el objeto arbitrario ejecutará una función con parámetros mientras se deserializa.
El espacio de nombres System.Windows.Data, que se encuentra dentro de PresentationFramework.dll en C:\Windows\Microsoft.NET\Framework\v4.0.30319\WPF, es donde se define e implementa el ObjectDataProvider.
Usando dnSpy puedes inspeccionar el código de la clase que nos interesa. En la imagen a continuación estamos viendo el código de PresentationFramework.dll --> System.Windows.Data --> ObjectDataProvider --> Nombre del método
Como puedes observar, cuando se establece MethodName, se llama a base.Refresh(), veamos qué hace:
Ok, continuemos viendo qué hace this.BeginQuery(). BeginQuery es sobreescrito por ObjectDataProvider y esto es lo que hace:
Nota que al final del código se llama a this.QueryWorke(null). Veamos qué ejecuta eso:
Nota que este no es el código completo de la función QueryWorker, pero muestra la parte interesante: El código llama a this.InvokeMethodOnInstance(out ex); esta es la línea donde se invoca el método establecido.
Si quieres comprobar que solo estableciendo el MethodName** se ejecutará**, puedes ejecutar este código:
Note que necesita agregar como referencia C:\Windows\Microsoft.NET\Framework\v4.0.30319\WPF\PresentationFramework.dll para cargar System.Windows.Data
Usando el exploit anterior, habrá casos en los que el objeto será deserializado como una instancia de ObjectDataProvider (por ejemplo, en la vulnerabilidad de DotNetNuke, usando XmlSerializer, el objeto fue deserializado usando GetType). Entonces, no tendrá conocimiento del tipo de objeto que está envuelto en la instancia de ObjectDataProvider (por ejemplo, Process). Puede encontrar más información sobre la vulnerabilidad de DotNetNuke aquí.
Esta clase permite especificar los tipos de objeto de los objetos que están encapsulados en una instancia dada. Así, esta clase puede ser utilizada para encapsular un objeto fuente (ObjectDataProvider) en un nuevo tipo de objeto y proporcionar las propiedades que necesitamos (ObjectDataProvider.MethodName y ObjectDataProvider.MethodParameters). Esto es muy útil para casos como el presentado anteriormente, porque podremos envolver _ObjectDataProvider** dentro de una instancia de **ExpandedWrapper _ y cuando se deserialice esta clase creará el objeto OjectDataProvider que ejecutará la función indicada en MethodName.
Puede verificar este wrapper con el siguiente código:
En la página web oficial se indica que esta biblioteca permite Serializar y deserializar cualquier objeto .NET con el poderoso serializador JSON de Json.NET. Así que, si pudiéramos deserializar el gadget ObjectDataProvider, podríamos causar un RCE solo deserializando un objeto.
Primero que nada, veamos un ejemplo de cómo serializar/deserializar un objeto utilizando esta biblioteca:
Usando ysoserial.net creé el exploit:
En este código puedes probar el exploit, solo ejecútalo y verás que se ejecuta un calc:
Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)
