Object Injection

反序列化不可信赖的数据会允许注入任意 Ruby 对象，导致程序代表攻击者执行恶意命令。

如果不可信赖的数据未经过正确清除即被传递给类似 YAML.load() 的反序列化数据的函数，则会出现 Object injection 漏洞。只要在反序列化时将类加载到应用程序中，攻击者就可以将经特殊技术处理的序列化字符串传递到易受攻击的 YAML.load() 调用，从而将任意 Ruby 对象注入程序中。这可能带来大量的各种攻击机会，如绕过验证逻辑找到跨站点脚本漏洞，允许通过看似硬编码值来进行 SQL 注入，甚至进行完整的代码执行。

例 1：以下代码显示的 Ruby 类使用其属性来创建 SQL 查询，然后对数据库进行查询。还有使用用户提供的数据对 YAML.load() 进行的不安全调用。

...
class Transaction
  attr_accessor :id
  def initialize(num=nil)
    @id = num.is_a?(Numeric) ? num : nil
  end

  def print_details
    unless @id.nil?
      print $conn.query("SELECT * FROM transactions WHERE id=#{@id}")
    end
  end
end

...
user = YAML.load(params[:user]);
user.print_details
...

在Example 1 中，应用程序可能预期获取一个序列化的 User 对象，而该对象也恰好具有一个名为 print_details 的函数，但攻击者可能实际上会提供 Transaction 对象的序列化版本，并为其 @id 属性提供一个预定义值。因此，如下所示的请求可能会允许绕过用于确保 @id 为数值的验证检查

GET REQUEST:  http://server/page?user=!ruby%2Fobject%3ATransaction%0Aid%3A4%20or%205%3D5%0A

如果我们查看其解码版本，我们就会知道 user 参数获分配了 !ruby/object:Transaction\nid:4 or 5=5\n。
现在反序列化用户参数将创建一个 Transaction 类型的对象，将 @id 设置为 "4 or 5=5"。当开发人员认为他们将调用 User#print_details() 时，其实现在他们将会调用 Transaction#print_details()，且 Ruby 的字符串插值意味着 SQL 查询将被更改，以执行查询：SELECT * FROM transactions WHERE id=4 or 5=5。由于添加了额外语句，所以查询将评估为 true 并将返回 transactions 表中的所有内容，而不是开发人员所期望的单行。

攻击者可以使用称为“面向属性编程”的技术链接在调用易受攻击的 YAML.load() 时声明的不同类，该技术由 Stefan Esser 在 BlackHat 2010 会议上提出。利用该技术，攻击者可以重复使用现有代码以生成其自己的负载。