Adakah Tetapan `TypeNameHandling` Json.Net Anda (Auto) Terdedah kepada Serangan Data JSON Luaran?

Bolehkah Data JSON Luaran Menimbulkan Ancaman dengan Json.Net TypeNameHandling Ditetapkan kepada Auto?

Dalam penyahserikatan JSON, tetapan TypeNameHandling Json. Net memainkan peranan penting dalam mengurangkan potensi ancaman. Walau bagaimanapun, kebimbangan kekal mengenai keselamatan menggunakan tetapan ini dengan data JSON yang disediakan pengguna. Mari kita selidiki isu ini dan terokai potensi risiko dan langkah berjaga-jaga.

Kerentanan TypeNameHandling

Beban JSON luaran boleh dimanipulasi untuk mengandungi sifat "$type" yang menentukan jenis untuk penyahserialisasian. Jika jenis ini tidak disahkan dengan teliti, penyerang boleh mengeksploitasinya untuk membuat seketika objek penyangak yang dikenali sebagai "alat penyerang." Alat ini boleh melaksanakan tindakan berniat jahat, seperti pelaksanaan kod jauh (RCE) atau manipulasi sistem fail.

Langkah Perlindungan

Json.Net telah melaksanakan perlindungan untuk mencegah serangan sedemikian :

• Hartanah Tidak Diketahui Kejahilan: Ia mengabaikan sifat yang tidak diketahui, menjadikan muatan JSON dengan sifat "$type" luar tidak berbahaya.
• Keserasian Siri: Semasa penyahserilangan nilai polimorfik, ia menyemak sama ada jenis yang diselesaikan sepadan dengan yang diharapkan. Jika tidak, pengecualian akan dilemparkan.

Potensi Celah

Walaupun langkah-langkah ini, terdapat situasi tertentu di mana alat serangan mungkin masih dibina, walaupun dalam ketiadaan ahli yang tidak ditaip yang jelas:

• Tidak ditaip Koleksi: Menyahsiri koleksi jenis yang tidak diketahui, seperti ArrayList, List
• Koleksi Separa Taip: Menyahsiri koleksi yang diperoleh daripada CollectionBase, yang menyokong pengesahan jenis masa jalan, boleh mencipta tetingkap untuk alat pembinaan.
• Jenis Pangkalan Dikongsi: Ahli polimorfik diisytiharkan sebagai antara muka atau jenis asas yang dikongsi oleh alat serangan (cth., ICollection, IDisposable) boleh memperkenalkan kelemahan.
• Antara Muka ISerializable: Jenis yang melaksanakan ISerializable mungkin secara tidak sengaja nyahsiri ahli yang tidak ditaip, mendedahkan mereka kepada serangan.
• Pensiri Bersyarat: Ahli yang ditandakan sebagai tidak bersiri dalam ShouldSerializeAttribute mungkin masih dinyahsiri jika terdapat dalam JSON muatan.

Pengesyoran

Untuk meminimumkan risiko, pertimbangkan pengesyoran berikut:

• Sahkan Jenis Tidak Diketahui: Laksanakan SerializationBinder tersuai untuk menyemak jenis bersiri yang masuk dan menolak yang tidak dibenarkan.
• Elakkan Ahli Tidak Ditaip: Pastikan data anda model tidak mengandungi ahli objek jenis, dinamik atau lain-lain yang berpotensi untuk dieksploitasi jenis.
• Tetapkan DefaultContractResolver: Pertimbangkan untuk menetapkan DefaultContractResolver.IgnoreSerializableInterface dan DefaultContractResolver.IgnoreSerializableAttribute kepada benar.
Kod Disahkan Semula untuk: NonSerializable Kod: bahawa ahli yang ditandakan sebagai tidak bersiri tidak dinyahsiri dalam situasi yang tidak dijangka.

Dengan mematuhi amalan terbaik ini, anda boleh mengurangkan dengan banyak kemungkinan data JSON luaran menjejaskan sistem anda melalui Json.Net TypeNameHandling yang ditetapkan kepada Auto.

Atas ialah kandungan terperinci Adakah Tetapan `TypeNameHandling` Json.Net Anda (Auto) Terdedah kepada Serangan Data JSON Luaran?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!