Dynamic Code Evaluation: Serializable Delegate

给定类中的可序列化Delegate字段在反序列化该类时会引入任意代码执行漏洞。

Delegate类型用于保留对稍后可在用户代码中调用的方法调用的引用。.NET 在序列化Delegate类型时使用自定义序列化并利用 System.DelegateSerializationHolder 类来存储附加或订阅到Delegate的方法信息。Delegate对象的序列化流不适合持久存储或将其传递给远程应用程序，因为如果攻击者将方法信息替换为指向恶意对象图的方法信息，攻击者将能够运行任意代码。

示例 1：以下类中包含可序列化 Delegate 字段，并且将在 Executor 方法中调用：

      ...
      [Serializable]
      class DynamicRunnner
      {
          Delegate _del;
          string[] _arg;
          public DynamicRunnner(Delegate dval, params string[] arg)
          {
              _del = dval;
              _arg = arg;
          }
          public bool Executor()
          {
              return (bool)_del.DynamicInvoke(_arg);
          }
      }
      ...
    

如果开发人员对Example 1 中所示类的不可信流进行反序列化，则攻击者可能会将其方法信息替换为指向 Process.Start 的方法信息，从而在调用 Executor 方法时创建任意进程。