Wie kann ich meine JSON-Deserialisierung vor externen Quellen mithilfe des TypeNameHandling von Json.Net schützen?

Externe JSON-Schwachstelle aufgrund von Json.Net TypeNameHandling Auto

Die automatische TypeNameHandling-Einstellung von Json.Net kann möglicherweise Sicherheitsrisiken mit sich bringen, wenn JSON von nicht vertrauenswürdig deserialisiert wird Quellen. Diese Risiken können jedoch durch die Einhaltung spezifischer Richtlinien gemindert werden.

Typsicherheit und Angriffs-Gadgets

Angriffe, die TypeNameHandling ausnutzen, basieren auf der Entwicklung von „Angriffs-Gadgets“, die böswillige Aktionen ausführen bei der Instanziierung oder Initialisierung. Json.Net schützt vor diesen Angriffen, indem es die Kompatibilität deserialisierter Typen mit den erwarteten Typen validiert.

Schwachstellenbedingungen

Obwohl das Ziel kein explizites Objekt oder dynamische Mitglieder enthält Obwohl die Klasse das Risiko verringert, ist die Sicherheit nicht vollständig gewährleistet. Potenzielle Schwachstellen können in den folgenden Szenarien auftreten:

• Untypisierte Sammlungen: Durch die Deserialisierung untypisierter Sammlungen (z. B. List
• CollectionBase-Implementierungen: CollectionBase-Typen können nur Elementtypen validieren zur Laufzeit, wodurch ein potenzielles Schwachstellenfenster entsteht.
• Gemeinsam genutzte Basistypen/Schnittstellen:Typen, die Basistypen oder Schnittstellen mit Angriffsgeräten teilen, können Schwachstellen erben.
• ISerialisierbar Schnittstellen: Die Deserialisierung von Typen, die ISerializable implementieren, kann untypisierte Mitglieder ermöglichen Deserialisierung.
• Bedingte Serialisierung:Mit ShouldSerializeAttribute-Methoden markierte Mitglieder können deserialisiert werden, auch wenn sie nicht explizit serialisiert werden.

Risikominderung

Um das Risiko zu minimieren, ist es unbedingt erforderlich, diese zu befolgen Empfehlungen:

• Verwenden Sie nach Möglichkeit TypeNameHandling.None.
• Implementieren Sie einen benutzerdefinierten SerializationBinder, um eingehende Typen zu validieren und die Deserialisierung unerwarteter Typen zu verhindern.
• Erwägen Sie, die [Serializable ]-Attribut durch Festlegen von DefaultContractResolver.IgnoreSerializableAttribute auf true.
• Stellen Sie sicher, dass alle Objektmitglieder, die nicht deserialisiert werden dürfen, mit ShouldSerializeAttribute-Methoden markiert sind, die false zurückgeben.

Durch die Einhaltung dieser Richtlinien ist es möglich, JSON auch in sicher zu deserialisieren das Vorhandensein von TypeNameHandling auto und reduziert gleichzeitig das Risiko von Angriffen erheblich.

Das obige ist der detaillierte Inhalt vonWie kann ich meine JSON-Deserialisierung vor externen Quellen mithilfe des TypeNameHandling von Json.Net schützen?. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!