Basic .Net deserialization (ObjectDataProvider gadget, ExpandedWrapper, and Json.Net)
Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Ovaj post je posvećen razumevanju kako se gadget ObjectDataProvider koristi za dobijanje RCE i kako se biblioteke za serijalizaciju Json.Net i xmlSerializer mogu zloupotrebiti sa tim gadgetom.
ObjectDataProvider Gadget
Iz dokumentacije: klasa ObjectDataProvider obavija i kreira objekat koji možete koristiti kao izvor vezivanja. Da, to je čudno objašnjenje, pa hajde da vidimo šta ova klasa ima što je tako interesantno: Ova klasa omogućava obavijanje proizvoljnog objekta, korišćenje MethodParameters za postavljanje proizvoljnih parametara, a zatim korišćenje MethodName za pozivanje proizvoljne funkcije proizvoljnog objekta deklarisanog korišćenjem proizvoljnih parametara. Stoga, proizvoljni objekat će izvršiti funkciju sa parametrima dok se deserializuje.
Kako je to moguće
System.Windows.Data prostor imena, koji se nalazi unutar PresentationFramework.dll na C:\Windows\Microsoft.NET\Framework\v4.0.30319\WPF
, je mesto gde je ObjectDataProvider definisan i implementiran.
Korišćenjem dnSpy možete inspektovati kod klase koja nas zanima. Na slici ispod vidimo kod PresentationFramework.dll --> System.Windows.Data --> ObjectDataProvider --> Ime metode
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F3850298721-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fs712eRnz5qRNRafWqq3N%252Fuploads%252Fgit-blob-139d4b08a065059377f1d3fb99dfb735ceee0b56%252Fimage%2520%28427%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=8882ebc6&sv=1)
Kao što možete primetiti, kada je MethodName
postavljen, poziva se base.Refresh()
, hajde da pogledamo šta to radi:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F3850298721-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fs712eRnz5qRNRafWqq3N%252Fuploads%252Fgit-blob-69c184be9c24a31ea142e0a81e41567dd6a61983%252Fimage%2520%28319%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=1684c699&sv=1)
U redu, hajde da nastavimo da vidimo šta radi this.BeginQuery()
. BeginQuery
je prepisan od strane ObjectDataProvider
i ovo je ono što radi:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F3850298721-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fs712eRnz5qRNRafWqq3N%252Fuploads%252Fgit-blob-f0537a32e2e4eea1c8c432f250cf21e453de6fad%252Fimage%2520%28345%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=9bd41ca7&sv=1)
Napomena: na kraju koda poziva se this.QueryWorke(null)
. Hajde da vidimo šta to izvršava:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F3850298721-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fs712eRnz5qRNRafWqq3N%252Fuploads%252Fgit-blob-5c9179c0d7ec7a17f081a8bcbaa3316b797271b4%252Fimage%2520%28596%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=83f12c1c&sv=1)
Napomena: ovo nije kompletan kod funkcije QueryWorker
, ali pokazuje zanimljiv deo: Kod poziva this.InvokeMethodOnInstance(out ex);
ovo je linija gde se postavljena metoda poziva.
Ako želite da proverite da samo postavljanje MethodName** će biti izvršeno**, možete pokrenuti ovaj kod:
Napomena da je potrebno dodati kao referencu C:\Windows\Microsoft.NET\Framework\v4.0.30319\WPF\PresentationFramework.dll kako bi se učitao System.Windows.Data
ExpandedWrapper
Koristeći prethodni exploit, biće slučajeva gde će objekat biti deserijalizovan kao ObjectDataProvider instanca (na primer u DotNetNuke vuln, koristeći XmlSerializer, objekat je deserijalizovan koristeći GetType
). Tada, neće imati znanje o tipu objekta koji je obavijen u ObjectDataProvider instanci (Process
na primer). Možete pronaći više informacija o DotNetNuke vuln ovde.
Ova klasa omogućava da se odrede tipovi objekata objekata koji su enkapsulirani u datoj instanci. Dakle, ova klasa se može koristiti za enkapsulaciju izvornog objekta (ObjectDataProvider) u novi tip objekta i pružanje svojstava koja su nam potrebna (ObjectDataProvider.MethodName i ObjectDataProvider.MethodParameters). Ovo je veoma korisno za slučajeve kao što je onaj predstavljen ranije, jer ćemo moći da obavijemo _ObjectDataProvider** unutar **ExpandedWrapper _ instance i kada se deserijalizuje ova klasa će kreirati OjectDataProvider objekat koji će izvršiti funkciju naznačenu u MethodName.
Možete proveriti ovaj wrapper sa sledećim kodom:
Json.Net
Na službenoj veb stranici je navedeno da ova biblioteka omogućava serijalizaciju i deserializaciju bilo kog .NET objekta uz pomoć moćnog JSON serijalizatora Json.NET. Dakle, ako bismo mogli deserijalizovati ObjectDataProvider gadget, mogli bismo izazvati RCE samo deserializovanjem objekta.
Json.Net primer
Prvo, hajde da vidimo primer kako da serijalizujemo/deserijalizujemo objekat koristeći ovu biblioteku:
Zloupotreba Json.Net
Koristeći ysoserial.net kreirao sam eksploataciju:
U ovom kodu možete testirati eksploataciju, samo ga pokrenite i videćete da se izvršava kalkulator:
Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated