外部 JSON 公開: Json.Net による TypeNameHandling のリスクを理解する
自動型処理による JSON 逆シリアル化は、セキュリティ上の脅威を引き起こす可能性があります。この記事は、Json.Net で Auto に設定された TypeNameHandling を使用する場合の潜在的な脆弱性を明確にすることを目的としています。
Json.Net の TypeNameHandling について
TypeNameHandling による JSON の制御方法。 Net は、インスタンス化する型の完全修飾名を指定する「$type」プロパティを使用して型を逆シリアル化します。 Auto に設定すると、Json.Net は指定された型を解決してインスタンスを構築しようとします。
潜在的な危険
データ モデルに直接オブジェクトまたは動的メンバーがないと、逆シリアル化攻撃から保護されていると想定することもできます。ただし、特定のシナリオでは依然としてリスクが生じる可能性があります。
- 型なしコレクション: ArrayList や List
- CollectionBase: CollectionBase から継承した型により、ランタイム アイテム検証が可能になり、攻撃ガジェット構築の潜在的な抜け穴が作成されます。
- 共有ベース タイプ: 攻撃ガジェットによって共有されるベース タイプまたはインターフェイスを持つポリモーフィックな値は、次の影響を受けやすくなります。逆シリアル化攻撃。
- ISerializable 型: ISerializable を実装する型は、Exception.Data ディクショナリを含む、型なしのメンバーを逆シリアル化する可能性があります。
- 条件付きシリアル化: マークされたメンバーShouldSerialize メソッド経由でシリアル化されていない場合でも、 JSON 入力に存在する場合は逆シリアル化されます。
軽減策
セキュリティを強化するには、次の点を考慮してください。
- Custom SerializationBinder: 検証するカスタム SerializationBinder を実装します。予期される型を定義し、予期しない型の逆シリアル化を防ぎます。
- TypeNameHandling.None: TypeNameHandling を None に設定することを検討してください。これにより、逆シリアル化中の型解決が効果的に無効になります。
- 警告予期しない/非表示の入力: 型指定されていないメンバーまたは非表示のシリアル化に注意してください
- デフォルトのシリアル化コントラクトを無効にする: DefaultContractResolver.IgnoreSerializableInterface または DefaultContractResolver.IgnoreSerializableAttribute を次のように設定しないようにします。 false。
結論
Json.Net の特定のメカニズムは脆弱性の軽減に役立ちますが、外部 JSON 逆シリアル化における TypeNameHandling によってもたらされる潜在的なリスクを慎重に考慮することが重要です。カスタム SerializationBinder の実装やデータ モデルの型指定の検証など、推奨される予防策に従うことで、Json.Net の機能を利用しながらアプリケーションのセキュリティを強化できます。
以上がJson.Net の TypeNameHandling を使用した JSON 逆シリアル化はどの程度安全ですか?の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。
C言語関数によって返される値の種類は何ですか？返品値を決定するものは何ですか？Mar 03, 2025 pm 05:52 PMこの記事では、c関数のリターンタイプ、基本（int、float、charなど）、派生（配列、ポインター、構造体）、およびvoid型を含む詳細を示します。 コンパイラは、関数宣言とreturnステートメントを介して返品タイプを決定し、強制します
GULC：Cライブラリはゼロから構築されていますMar 03, 2025 pm 05:46 PMGULCは、最小限のオーバーヘッド、積極的なインライン、およびコンパイラの最適化を優先する高性能Cライブラリです。 高周波取引や組み込みシステムなどのパフォーマンスクリティカルなアプリケーションに最適な設計では、シンプルさ、モジュールが強調されています
C言語関数の定義と呼び出しルールは何ですか、そしてMar 03, 2025 pm 05:53 PMこの記事では、C関数宣言と定義、引数の合格（価値とポインターによる）、返品値、およびメモリリークやタイプの不一致などの一般的な落とし穴について説明します。 モジュール性とProviの宣言の重要性を強調しています
c言語関数形式文字ケース変換手順Mar 03, 2025 pm 05:53 PMこの記事では、文字列ケース変換のC関数について詳しく説明しています。 ctype.hのtoupper（）とtolower（）を使用し、文字列を介して繰り返し、ヌルターミネーターを処理することを説明しています。 ctype.hを忘れたり、文字列リテラルを変更するなどの一般的な落とし穴は
メモリに保存されているC言語関数の返品値はどこにありますか？Mar 03, 2025 pm 05:51 PMこの記事では、C関数の戻り値ストレージを調べます。 通常、リターン値は通常、速度のためにレジスタに保存されます。値が大きいと、ポインターをメモリ（スタックまたはヒープ）に使用し、寿命に影響を与え、手動のメモリ管理が必要になります。直接acc
明確な使用法とフレーズ共有Mar 03, 2025 pm 05:51 PMこの記事では、形容詞の「個別」の多面的な使用法を分析し、その文法機能、一般的なフレーズ（例：「はっきりと異なる」とは異なる」、およびフォーマルと非公式の微妙なアプリケーションを調査します。
STL（ソート、検索、変換など）のアルゴリズムを効率的に使用するにはどうすればよいですか？Mar 12, 2025 pm 04:52 PMこの記事では、cの効率的なSTLアルゴリズムの使用について詳しく説明しています。 データ構造の選択（ベクトル対リスト）、アルゴリズムの複雑さ分析（STD :: STD :: STD :: PARTIAL_SORTなど）、イテレーターの使用、および並列実行を強調しています。 のような一般的な落とし穴
C標準テンプレートライブラリ（STL）はどのように機能しますか？Mar 12, 2025 pm 04:50 PMこの記事では、C標準テンプレートライブラリ（STL）について説明し、そのコアコンポーネント（コンテナ、イテレーター、アルゴリズム、およびファンクター）に焦点を当てています。 これらが一般的なプログラミングを有効にし、コード効率を向上させ、読みやすさを改善する方法を詳述しています。
ホットAIツール
Undresser.AI Undress
リアルなヌード写真を作成する AI 搭載アプリ
AI Clothes Remover
写真から衣服を削除するオンライン AI ツール。
Undress AI Tool
脱衣画像を無料で
Clothoff.io
AI衣類リムーバー
AI Hentai Generator
AIヘンタイを無料で生成します。
人気の記事
ホットツール
SublimeText3 中国語版
中国語版、とても使いやすい
SublimeText3 Mac版
神レベルのコード編集ソフト（SublimeText3）
MantisBT
Mantis は、製品の欠陥追跡を支援するために設計された、導入が簡単な Web ベースの欠陥追跡ツールです。 PHP、MySQL、Web サーバーが必要です。デモおよびホスティング サービスをチェックしてください。
ドリームウィーバー CS6
ビジュアル Web 開発ツール
DVWA
Damn Vulnerable Web App (DVWA) は、非常に脆弱な PHP/MySQL Web アプリケーションです。その主な目的は、セキュリティ専門家が法的環境でスキルとツールをテストするのに役立ち、Web 開発者が Web アプリケーションを保護するプロセスをより深く理解できるようにし、教師/生徒が教室環境で Web アプリケーションを教え/学習できるようにすることです。安全。 DVWA の目標は、シンプルでわかりやすいインターフェイスを通じて、さまざまな難易度で最も一般的な Web 脆弱性のいくつかを実践することです。このソフトウェアは、
