Posted inSecurity

Vượt Qua Vành Đai: Đánh Bại Lỗ Hổng Deserialization Không An Toàn trong Java, PHP và Python

Security tutorial - IT technology blog
Security tutorial - IT technology blog

Bảo Mật Lớp Vô Hình

Tôi đã chứng kiến một môi trường production sụp đổ lúc 2 giờ sáng chỉ vì một HTTP header bị lỗi định dạng. Đêm đó dạy tôi một bài học cay đắng: tường lửa truyền thống hoàn toàn vô dụng trước các lỗ hổng ở cấp độ logic.

Trong khi nhiều team tập trung vào SQL injection hay XSS, Insecure Deserialization vẫn là kẻ giết người thầm lặng. Không phải ngẫu nhiên nó đứng vị trí #8 trong OWASP Top 10. Suốt sáu tháng qua, team chúng tôi đã dần loại bỏ native serialization khỏi hệ thống sau khi nhận ra rằng dù server đã được vá lỗi, ứng dụng vẫn có thể bị tấn công nếu logic cốt lõi bị lỗi.

Serialization chuyển đổi một đối tượng đang hoạt động thành định dạng có thể lưu trữ, chẳng hạn như byte stream hoặc chuỗi ký tự. Deserialization là quá trình ngược lại. Lỗ hổng phát sinh khi ứng dụng tin tưởng dữ liệu do người dùng cung cấp để tái tạo các đối tượng này mà không qua xác thực. Nếu kẻ tấn công thao túng chuỗi đã được serialize, chúng có thể buộc ứng dụng thực thi các lệnh tùy ý, thường với quyền root.

Vấn Đề Python Pickle: Một Exploit Chỉ 10 Dòng Code

Các lập trình viên Python thường dùng thư viện pickle vì tính đơn giản của nó. Tuy nhiên, pickle về cơ bản là một execution engine. Nó không chỉ lưu trữ dữ liệu mà còn lưu trữ cả hướng dẫn về cách tái tạo dữ liệu đó. Trong môi trường production, tin tưởng một pickled object từ phía client chẳng khác nào cấp cho họ quyền truy cập terminal.

import pickle
import os

# Payload này thực thi lệnh hệ thống khi được deserialized
class MaliciousPayload:
    def __reduce__(self):
        # Trả về một callable và các đối số để thực thi
        return (os.system, ('whoami',))

# Kẻ tấn công serialize đối tượng này
attack_payload = pickle.dumps(MaliciousPayload())

# Server nạn nhân xử lý dữ liệu
pickle.loads(attack_payload)

Hãy chú ý phương thức __reduce__. Nó cho Python biết chính xác hàm nào sẽ được gọi trong quá trình tái tạo đối tượng. Chỉ cần thay 'whoami' bằng một lệnh reverse shell, kẻ tấn công có thể chiếm toàn quyền kiểm soát máy chủ trong vòng chưa đầy 100 milliseconds. Đây không phải lỗi của Python mà là một tính năng của thư viện vốn không được thiết kế để xử lý dữ liệu từ nguồn không tin cậy.

Cách Gadget Chain Biến Thư Viện Thành Vũ Khí

Các exploit hiện đại hiếm khi dựa vào một dòng code lỗ hổng duy nhất. Thay vào đó, chúng sử dụng Gadget Chain. Một “gadget” là một class đã tồn tại trong các dependency của ứng dụng — chẳng hạn như một tiện ích ghi log hay một database driver — thực hiện một hành động cụ thể. Bằng cách kết nối chúng lại với nhau, kẻ tấn công tạo ra một chương trình hoàn chỉnh từ chính các thư viện của bạn.

Java: Rủi Ro Từ ObjectInputStream

Java’s java.io.ObjectInputStream.readObject() là một mục tiêu tấn công phổ biến. Nếu classpath của bạn có thư viện Apache Commons Collections (cụ thể là các phiên bản trước 3.2.2), kẻ tấn công có thể kích hoạt một chuỗi kết thúc bằng Runtime.exec(). Đây là nguyên nhân gốc rễ của nhiều vụ tấn công nghiêm trọng ảnh hưởng đến các nền tảng middleware lớn.

// Pattern Java phổ biến nhưng nguy hiểm
InputStream is = request.getInputStream();
ObjectInputStream ois = new ObjectInputStream(is);
// RCE được kích hoạt ngay khi readObject() được gọi
Object obj = ois.readObject();

PHP: Magic Methods và POP Chain

PHP sử dụng unserialize(), kích hoạt các “Magic Method” như __destruct() hoặc __wakeup(). Kỹ thuật này, còn gọi là Property-Oriented Programming (POP), cho phép kẻ tấn công ghi đè lên các thuộc tính của đối tượng. Nếu một class dùng thuộc tính để định nghĩa đường dẫn file, kẻ tấn công có thể chuyển hướng đường dẫn đó để xóa các file hệ thống quan trọng.

class FileCleaner {
    public $path;
    public function __destruct() {
        // Nếu $path được đặt thành "index.php", toàn bộ site sẽ sập
        unlink($this->path);
    }
}

unserialize($_GET['payload']);

Bộ Công Cụ Phòng Thủ: Tự Động Hóa và Kiểm Toán

Kẻ tấn công không còn xây dựng các chuỗi này thủ công nữa. Chúng sử dụng các công cụ sinh payload tự động nhắm vào các phiên bản framework cụ thể. Để bảo vệ hệ thống, bạn phải hiểu rõ những công cụ này hơn cả hacker.

  • Ysoserial: Tiêu chuẩn vàng để tạo Java gadget chain cho các thư viện như Spring và Hibernate.
  • PHPGGC: Kho lưu trữ khổng lồ các payload dựng sẵn cho Laravel, Symfony và Guzzle.
  • Snyk/OWASP Dependency-Check: Các công cụ này quét pom.xml hoặc requirements.txt để tìm các thư viện được biết là có thể làm gadget.

Khi kiểm toán các hệ thống cũ, chúng tôi phát hiện 15% microservice đang chạy các thư viện lỗi thời mà ysoserial có thể khai thác ngay lập tức. Vá lỗi thư viện là bước đầu tiên, nhưng thay đổi kiến trúc mới là giải pháp duy nhất mang tính lâu dài.

Tăng Cường Bảo Mật Môi Trường Production

Sau sáu tháng tái cấu trúc hệ thống nội bộ, chúng tôi đã xác định được ba chiến lược có tác động cao để loại bỏ hoàn toàn vector tấn công này.

1. Chuyển Sang Định Dạng Chỉ Chứa Dữ Liệu

Ngừng sử dụng native serialization cho giao tiếp bên ngoài. Hãy dùng JSON hoặc Protocol Buffers. Các định dạng này hoàn toàn hướng dữ liệu và không chứa bất kỳ hướng dẫn nào về khởi tạo class hay thực thi phương thức. Chúng an toàn hơn theo bản chất vì thiếu đi phần “logic” mà gadget chain cần có.

2. Deserialization Dựa Trên Whitelist (Java)

Nếu không thể loại bỏ Java serialization, bạn phải xác thực các class trước khi chúng được khởi tạo. Override phương thức resolveClass để triển khai một allow-list nghiêm ngặt. Nếu class đến không có trong danh sách, hãy ngắt kết nối ngay lập tức.

public class SecureInputStream extends ObjectInputStream {
    @Override
    protected Class<?> resolveClass(ObjectStreamClass desc) throws IOException, ClassNotFoundException {
        if (!desc.getName().equals("com.company.SafeDTO")) {
            throw new SecurityException("Class không được phép: " + desc.getName());
        }
        return super.resolveClass(desc);
    }
}

3. Chữ Ký Mật Mã

Không bao giờ xử lý một serialized blob mà không xác minh tính toàn vẹn của nó. Ký dữ liệu bằng HMAC (Hash-based Message Authentication Code) với khóa 256-bit được lưu trong một vault bảo mật. Nếu chữ ký không khớp, dữ liệu đã bị giả mạo và ứng dụng nên loại bỏ mà không cần thử deserialize.

Bảo mật không phải là việc hoàn hảo tuyệt đối; mà là làm cho chi phí của một cuộc tấn công cao hơn phần thưởng mà kẻ tấn công nhận được. Bằng cách loại bỏ các pattern serialization nguy hiểm và thực thi xác thực nghiêm ngặt, bạn đã bít kín các kẽ hở trong nền tảng của mình. Bạn có thể không ngăn được mọi hacker, nhưng chắc chắn sẽ ngăn được những kẻ đang tìm kiếm mục tiêu dễ dàng.

Share:
Tags: