Adakah Tetapan `TypeNameHandling` Json.Net Anda (Auto) Terdedah kepada Serangan Data JSON Luaran?

Bolehkah Data JSON Luaran Menimbulkan Ancaman dengan Json.Net TypeNameHandling Ditetapkan kepada Auto?

Dalam penyahserikatan JSON, tetapan TypeNameHandling Json. Net memainkan peranan penting dalam mengurangkan potensi ancaman. Walau bagaimanapun, kebimbangan kekal mengenai keselamatan menggunakan tetapan ini dengan data JSON yang disediakan pengguna. Mari kita selidiki isu ini dan terokai potensi risiko dan langkah berjaga-jaga.

Kerentanan TypeNameHandling

Beban JSON luaran boleh dimanipulasi untuk mengandungi sifat "$type" yang menentukan jenis untuk penyahserialisasian. Jika jenis ini tidak disahkan dengan teliti, penyerang boleh mengeksploitasinya untuk membuat seketika objek penyangak yang dikenali sebagai "alat penyerang." Alat ini boleh melaksanakan tindakan berniat jahat, seperti pelaksanaan kod jauh (RCE) atau manipulasi sistem fail.

Langkah Perlindungan

Json.Net telah melaksanakan perlindungan untuk mencegah serangan sedemikian :

• Hartanah Tidak Diketahui Kejahilan: Ia mengabaikan sifat yang tidak diketahui, menjadikan muatan JSON dengan sifat "$type" luar tidak berbahaya.
• Keserasian Siri: Semasa penyahserilangan nilai polimorfik, ia menyemak sama ada jenis yang diselesaikan sepadan dengan yang diharapkan. Jika tidak, pengecualian akan dilemparkan.

Potensi Celah

Walaupun langkah-langkah ini, terdapat situasi tertentu di mana alat serangan mungkin masih dibina, walaupun dalam ketiadaan ahli yang tidak ditaip yang jelas:

• Tidak ditaip Koleksi: Menyahsiri koleksi jenis yang tidak diketahui, seperti ArrayList, List