Wie sicher ist Ihre JSON-Deserialisierung mit TypeNameHandling von Json.Net?

Externe JSON-Offenlegung: Die Risiken der TypeNameHandling mit Json.Net verstehen

JSON-Deserialisierung mit automatischer Typverarbeitung kann Sicherheitsrisiken darstellen. Ziel dieses Artikels ist es, die potenziellen Schwachstellen bei der Verwendung von TypeNameHandling mit auf „Auto“ eingestellten Einstellungen in Json.Net zu klären.

Grundlegendes zu TypeNameHandling in Json.Net

TypeNameHandling steuert, wie JSON. Net deserialisiert Typen mit „$type“-Eigenschaften, die den vollständig qualifizierten Namen des zu instanziierenden Typs angeben. Bei der Einstellung „Auto“ versucht Json.Net, den angegebenen Typ aufzulösen und eine Instanz zu erstellen.

Potenzielle Gefahren

Ohne unmittelbare Objekte oder dynamische Mitglieder in Ihrem Datenmodell, Sie können davon ausgehen, dass Sie vor Deserialisierungsangriffen geschützt sind. Bestimmte Szenarien können jedoch immer noch Risiken mit sich bringen:

• Untypisierte Sammlungen: Deserialisieren untypisierter Sammlungen wie ArrayList oder List
• CollectionBase: Von CollectionBase geerbte Typen ermöglichen die Elementvalidierung zur Laufzeit und schaffen so eine potenzielle Lücke für die Konstruktion von Angriffs-Gadgets.
• Gemeinsame Basistypen: Polymorphe Werte mit Basistypen oder Schnittstellen, die von Angriffsgeräten gemeinsam genutzt werden, sind anfällig für Deserialisierung Angriffe.
• ISerializable-Typen: Typen, die ISerializable implementieren, können nicht typisierte Mitglieder deserialisieren, einschließlich des Exception.Data-Wörterbuchs.
• Bedingte Serialisierung: Mitglieder, die als markiert sind Nicht über ShouldSerialize-Methoden serialisierte Methoden können weiterhin deserialisiert werden, wenn sie in JSON vorhanden sind Eingabe.

Abhilfemaßnahmen

Um die Sicherheit zu erhöhen, berücksichtigen Sie Folgendes:

• Benutzerdefinierter Serialisierungsbinder: Implementieren Sie einen benutzerdefinierten SerializationBinder, um erwartete Typen zu validieren und die Deserialisierung unerwarteter Typen zu verhindern Typen.
• TypeNameHandling.None: Erwägen Sie, TypeNameHandling auf None zu setzen, wodurch die Typauflösung während der Deserialisierung effektiv deaktiviert wird.
• Warnung bei unerwarteter/versteckter Eingabe: Achten Sie auf untypisierte Mitglieder oder verstecktes Serialisierungsverhalten in Ihren Daten Modell.
• Standardserialisierungsvertrag deaktivieren: Vermeiden Sie es, DefaultContractResolver.IgnoreSerializableInterface oder DefaultContractResolver.IgnoreSerializableAttribute auf false zu setzen.

Fazit

Während bestimmte Mechanismen in Json.Net dazu beitragen, Schwachstellen zu mindern, ist es wichtig, die potenziellen Risiken, die TypeNameHandling bei der externen JSON-Deserialisierung mit sich bringt, sorgfältig abzuwägen. Indem Sie die empfohlenen Vorsichtsmaßnahmen befolgen, wie z. B. die Implementierung eines benutzerdefinierten SerializationBinder und die Überprüfung der Typisierung Ihres Datenmodells, können Sie die Sicherheit Ihrer Anwendung erhöhen und gleichzeitig die Funktionen von Json.Net nutzen.

Das obige ist der detaillierte Inhalt vonWie sicher ist Ihre JSON-Deserialisierung mit TypeNameHandling von Json.Net?. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!