Арина Захарова. 3D-Deserialization in C#

В работе рассматриваются уязвимости десериализации в C#: для этого вводится абстрактная модель, включающая вызов API, определение ожидаемого типа, выбор runtime-типа, реконструкцию графа объектов и материализацию. На основе этой модели выделяются три основных механизма: unrestricted polymorphic deserialization, object graph injection и metadata-driven deserialization. Показано, что архитектурно опасное поведение определяется не самим форматом представления данных, а тем, на каком уровне десериализатор допускает влияние входных данных на восстановление runtime-объектов. Практическая часть иллюстрирует предложенную классификацию на примерах библиотек BinaryFormatter, Json.NET и JavaScriptSerializer, а также сопоставляет их с более ограниченными сериализаторами. Предложенный подход позволяет точнее описывать природу десериализационных уязвимостей, связывать их с конкретными уровнями жизненного цикла объекта и использовать это как основу для анализа, эксплуатации и выбора мер защиты