Dynamic Code Evaluation: Unsafe Deserialization

在執行階段，還原序列化使用者控制的物件串流可能會讓攻擊者在伺服器上執行任意程式碼、濫用應用程式邏輯和/或造成阻斷服務。

.NET 序列化會將物件圖形變成包含物件本身及必要中繼資料的位元組或 XML 串流，以便從串流重建這些物件圖形。開發人員可以建立自訂程式碼來協助處理 .NET 物件的還原序列化，在此過程中，他們可以將已還原序列化的物件取代為不同的物件或代理伺服器。在物件重建的過程中，並在物件傳回至應用程式並轉換為預期的類型之前，會進行自訂的還原序列化程序。當開發人員嘗試強制執行某個預期的類型時，程式碼可能已經執行。

範例 1：以下函數採用來自連線的 Stream 物件做為輸入，並將其還原序列化回 .NET 物件。然後在將其轉換為字串物件清單後傳回結果：

...
List <string> Deserialize(Stream input)
{
  var bf = new BinaryFormatter();
  var result = (List <string>)bf.Deserialize(input); 
  return result;
}
...

為了更好地瞭解，Example 1 可以按如下方式進行重寫：

範例 2：

...
List <string> Deserialize(Stream input)
{
  var bf = new BinaryFormatter();
  object tmp = bf.Deserialize(input);
  List <string> result = (List <string>)tmp;
  return result;
}
...

在 Example 2 中，只要輸入串流有效，無論類型是否為 List <string>，還原序列化作業都會成功。

在必須存在於 bin 資料夾或位於 GAC 中且攻擊者不能插入的可序列化類別中，會定義自訂還原序列化常式，所以這些攻擊的可利用性取決於應用程式環境中的可用類別。遺憾的是，常見的第三方類別、甚至是 .NET 類別可能會被濫用於耗盡系統資源、刪除檔案、部署惡意檔案或執行任意程式碼。