Dynamic Code Evaluation: Unsafe Deserialization

在运行时对用户控制的对象流进行反序列化，会让攻击者有机会在服务器上执行任意代码、滥用应用程序逻辑和/或导致 Denial of Service。

.NET 序列化会将对象图转换为字节流或 XML 流（包含对象本身和必要的元数据），以便通过流进行重构。开发人员可以创建自定义代码，以协助 .NET 对象反序列化过程，在此期间，他们可以使用其他对象或代理替代反序列化对象。在对象重构过程中，并在对象返回至应用程序并转换为预期的类型之前，会执行自定义反序列化过程。到开发人员尝试强制执行预期的类型时，代码可能已被执行。

示例 1：以下函数将连接中的 Stream 对象作为输入，并将其重新反序列化为 .NET 对象。然后在将其转换为字符串对象列表后返回结果：

...
List <string> Deserialize(Stream input)
{
  var bf = new BinaryFormatter();
  var result = (List <string>)bf.Deserialize(input); 
  return result;
}
...

为便于理解，Example 1 可按以下方式重写：

例 2：

...
List <string> Deserialize(Stream input)
{
  var bf = new BinaryFormatter();
  object tmp = bf.Deserialize(input);
  List <string> result = (List <string>)tmp;
  return result;
}
...

在Example 2 中，不管类型是否为 List <string>，只要输入流有效，反序列化操作就会成功。

在必须存在于 bin 文件夹或 GAC 中且无法由攻击者注入的可序列化类中，会自定义反序列化例程，所以这些攻击的可利用性取决于应用程序环境中的可用类。令人遗憾的是，常用的第三方类，甚至 .NET 类都可以被滥用，导致系统资源耗尽、删除文件、部署恶意文件或运行任意代码。