详细分析开源软件项目 Ajax.NET Professional 中的RCE 漏洞（CVE-2021-23758）

 聚焦源代码安全，网罗国内外最新资讯！

作者：Hans-Martin Münch

编译：代码卫士

Ajax.NET Professional 是一个开源软件项目，在二零零几年时非常流行，现在仍然可以找到基于该框架的应用程序。GitHub 官方库对它的描述为，“Ajax.NET Professional (AjaxPro) 是微软 ASP.NET 的首批 AJAX 框架之一。该框架将创建JavaScript 代理类用于客户端上，以调用 web 服务器上的方法，在所有常见 web 浏览器（包括移动设备在内）上具有完整的数据类型支持。返回自己的类、结构、数据集、枚举等等，就如直接在 .NET 中所作的那样。”

“完整的数据类型支持” 和 “自己的类“这类短语总是引起我们的注意，因为它们意味着序列化/反序列化流程非常灵活，随后我们将详细讨论这一问题。

想要使用 AjaxPro 的ASP.NET 应用程序需要在 web.config 文件中配置 HTTP 句柄。该句柄将接收到导入的客户端请求、反序列化参数，之后调用服务器端上的真实方法。它还充当用于调用 .NET 方法的 JavaScript

可从 JavaScript 调用的方法必须标有属性 [AjaxPro.AjaxMethod] 或 [AjaxMethod]。还必须使用 “RegisterTypeForAjax” 注册该类，以便框架能够生成将由客户端（第7行）使用的真正的 JavaScript 代码。

这里跳过了将用于调用该方法的所生成的 JavaScript 代码，直接查看已生成的 HTTP 请求：

Ajax.NET Professional 使用 HTTP POST 请求调用方法服务器端。虽然目标类是URL 的组成部分，但“X-Ajaxpro-Method” 请求标头指明了被调用的方法。方法参数作为 JSON 编码请求主体通过。

本分析中使用的是 AJAX.NET Professional 的 commit:

f845e338904de7db6908617a2d33840b1dd8b62b。

用于反序列化 JSON 编码 HTTP 主体的主要类是 “JavaScriptDeserializer”。当反序列化方法参数时就会调用静态的 “DeserializaeFromJson” 方法。该方法具有两个参数：一个是具有序列化对象的 JSON 数据，另外一个是预期的数据类型。反序列化成功时，返回的反序列化对象为：

该 JSON 数据被转换为一个 JavaScriptObject 实例并以于其对象类型为 “Deserialize” 方法被通过。在这个方法中，我们可以看到，JSON 对象可通过 “_type” 键包含类型信息。如果该类型是预期类型的子类，则可以覆写被传递给该反序列化的原始类型：

真正的反序列化通过如下步骤在 “DeserializeCustomObject” 类中执行：

1、创建预期类的对象实例

2、检索所有公开属性的列表

3、遍历属性清单并检查 JSON 对象中是否包含具有该键的元素。如包含，则该代码试图将 JSON 对象的键分配给该属性。

该方法也用于其它很多 JSON 反序列化中。因此，多数 ysoserial,net 框架的JSON 兼容工具都应该能正常运行。

如下 JSON 编码对象小例子。该对象使用的是研究员  Alvaro Muñoz 和 Oleksandr Mirosh 提出的 “AssemblyInstaller” 小工具。

要成功实施利用，攻击者仍然需要处理预期的类型限制。如之前所述，预期类型被传递到反序列化，我们的小工具必须是类型的子类。要绕过这个限制，攻击者有两个选项：

有意思的是，Ajax.NET Professional 框架为这两种情况都提供了示例：

AjaxPro.Services.IcartService

AajaxPro 21.10.30.1之前的版本中包含该框架实际不适用的示例类，其中一个就是 “ICartService” 类，它应该演示的是AjaxPro 用作购物车应用程序的用途。该类提供了 “AddItem” 方法，它具有 “AjaxMethod” 属性集并将任意对象当作参数。我们可调用该方法实现远程代码执行：

仔细阅读久可发现它是一个抽象类，因此我们无法创建该类的真正的实例。不过这也没有关系，因为在类尝试安装前就发生了参数反序列化。

滥用间接的类型转换器

该方法并未由我们发现，而是由 Markus Wulftange 发现的。就在我们还在分析源代码时，他就已经发现了此前提到的 ICartService 漏洞。

Ajax.Pro 中包含很多序列化/反序列化常见 .NET 数据类型如 Data Rows、Hashtables\Exceptions 等隐性的类型转换工具。其中一些转换工具还可滥用于获取代码执行权限。下面将详细分析 “HashtableConverter”类，不过其它类也受影响。

在 .NET 中，Hashtable 类提供了简单的键值对集合，它允许将任意对象增加为键和值。

如果 Hashtable 实例由 Ajax.NET Professional 序列化，则每个键值的类型信息必须被存储在 JSON 对象中。例如，如下说明了改框架如何序列化 “myTable” 哈希表。

从此时开始，攻击就变得显而易见了。攻击者只需将键或值的类型信息替换为 “System.Object” 并将恶意序列化对象提供为值即可。该payload 可被传递到设置了 AjaxPro.AjaxMethod 属性的任何方法并期望哈希表作为参数即可。

当 MOGWAI LABS 报告了这些问题后，Ajax.NET Professional 的开发者 Michael Schwarz 马不停蹄地推出安全更新。从 v21.11.11.1 版本开始，可反序列化的自定义类型必须通过阻止/允许清单进行配置。

MOGWAI LABS 强烈建议用户升级至最新版本。Nichael Schwarz 甚至提供了 nugget 包使更新变得容易一些。

如由于某些原因，开发人员无法更新，则应阻止访问 “AjaxPro.Services” 的任意尝试，例如如下更新 web.config：

开发人员需要考虑的是，这样做仍然允许通过 TypeConverters 的利用但至少拦截了通用的利用情况。