Json.Net의 TypeNameHandling.Auto가 외부 JSON 역직렬화에 대한 보안 위험을 설정합니까?

Json.Net TypeNameHandling Auto로 인해 외부 JSON이 취약합니까?

웹 애플리케이션 영역에서는 JSON 요청을 처리하는 것이 일반적인 관행입니다. . 그러나 Json.Net과 같은 JSON 프레임워크를 사용하는 자동 유형 역직렬화로 인한 잠재적인 위협에 대한 우려가 제기되었습니다.

문제 이해

JSON 페이로드가 역직렬화되는 경우 적절한 검증 없이, 특히 동적 또는 개체 유형 속성이 있는 경우 공격자가 "$type" 키가 포함된 악성 페이로드를 제공할 수 있습니다. 이 키는 역직렬화될 때 수신 시스템에서 임의의 코드를 실행할 수 있는 공격 가젯을 지정할 수 있습니다.

TypeNameHandling 및 Vulnerability

Json.Net은 다음과 같은 TypeNameHandling 설정을 제공합니다. "$type" 키가 포함된 JSON 페이로드가 어떻게 작동하는지 결정합니다. 처리됨:

• 없음: "$type" 키의 역직렬화를 비활성화합니다.
• 자동: " $type" 키.

기본적으로 이 설정은 다음과 같이 유지되는 경우가 많습니다. 잠재적인 취약점에 대한 우려를 불러일으키는 "Auto"입니다.

TypeNameHandling.Auto를 사용한 안전한 접근 방식

수신 JSON이 특정 유형으로만 역직렬화되는 특정 시나리오에서( MyObject) 및 MyObject 또는 해당 하위 개체 내에 개체나 동적 형식의 멤버가 없습니다. 가능성이 낮습니다.

그러나 이것이 안전을 보장하는 것은 아니라는 점에 유의해야 합니다. 예상치 못한 유형이나 유형이 지정되지 않은 항목이 포함된 컬렉션은 여전히 ​​허용될 수 있습니다. 공격 가젯의 역직렬화를 위해.

완화 및 최선책 사례

위험을 더욱 완화하려면 다음 모범 사례를 고려하십시오.

• 사용자 지정 SerializationBinder를 사용하여 수신 유형의 유효성을 검사합니다.
• 사용을 제한합니다. 개체, 동적 및 IDynamicMetaObjectProvider 유형.
• 컬렉션을 역직렬화하거나 잠재적인 공격 가젯과 기본 유형을 공유하는 값입니다.
• ISerialized를 구현하는 유형의 역직렬화를 방지하려면 DefaultContractResolver.IgnoreSerializedInterface = true를 설정하세요.

결론

Json.Net의 TypeNameHandling.Auto 설정을 활용하는 동안 취약성의 위험을 줄이려면 수신되는 JSON 데이터를 철저하게 검증하고 잠재적인 위협을 완화하기 위한 추가 보호 조치를 구현하는 것이 중요합니다.

위 내용은 Json.Net의 TypeNameHandling.Auto가 외부 JSON 역직렬화에 대한 보안 위험을 설정합니까?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!