كيف تتحول عملية إلغاء التسلسل غير الآمنة إلى تنفيذ تعليمات برمجية عن بُعد (وكيفية اكتشافها قبل الدمج)

استخدم Commit الذي فتح الباب الخلفي

تم دمج ميزة جديدة للتعامل مع العناصر التي يرفعها المستخدمون. اجتازت جميعها الاختبارات، ولكن بعد أسابيع، كشف اختبار اختراق أن المهاجمين يستطيعون تنفيذ أوامر على الخادم؛ نتيجةً لإلغاء التسلسل غير الآمن المختبئ في الكود. قد تكون الفجوة بين إلغاء التسلسل وتنفيذ الكود عن بُعد ضئيلةً للغاية، خاصةً عندما تكون البيانات المتسلسلة من حزم مفتوحة المصدر أو خدمات داخلية موثوقة دون التحقق من صحتها.

ما هو إلغاء التسلسل في الكود، ولماذا هو محفوف بالمخاطر، وأين يختبئ

بمصطلحات المطورين، ما المقصود بإلغاء التسلسل؟ إنها عملية أخذ البيانات المنظمة، أو JSON، أو XML، أو التنسيقات الثنائية، أو الكائنات التسلسلية الخاصة بلغة معينة، وتحويلها مرة أخرى إلى كائنات في الذاكرة.

من تلقاء نفسها، إلغاء التسلسل غير ضارة وشائعة، على سبيل المثال:

• جافا:قراءة الكائنات باستخدام مجرى إدخال الكائن
  
• Python: تحميل البيانات مع مخلل.تحميل
  
• Node.js :تحليل JSON باستخدام تحليل JSON
  

يظهر الخطر عند تطبيق إلغاء التسلسل على بيانات غير موثوقة دون التحقق من صحتها. يمكن للمهاجم إنشاء مُدخلات تُفعّل سلسلة أدوات، وهي مسارات أكواد موجودة تُستخدم بطرق غير مقصودة، مما قد يؤدي إلى تنفيذ أكواد عن بُعد.

غير مأمون إلغاء التسلسل توجد غالبًا في:

• الحزم مفتوحة المصدر مع الإعدادات الافتراضية غير الآمنة
  
• التعليمات البرمجية المخصصة الذي يفترض أن المدخلات التسلسلية جديرة بالثقة
  
• واجهات برمجة التطبيقات التابعة لجهات خارجية يتم إرجاع الكائنات المتسلسلة دون التحقق
  
• بناء القطع الأثرية مثل:
  
  • جافا .سر الملفات التي تحتوي على كائنات متسلسلة مسبقًا.
    
  • Python .pkl ملفات النماذج في سير عمل التعلم الآلي.
    
  • كائنات التكوين التسلسلية المضمنة في صور Docker أو حاويات النشر
    

• تجهيزات الاختبار مثل:
  
  
  • بيانات الاختبار التسلسلية القديمة المنسوخة من لقطات الإنتاج.
    
  • الحمولات التسلسلية التي تم تنزيلها من مستودعات خارجية لاختبارات الأداء أو الانحدار.
    

يمكن إدخال هذه الملفات إلى مستودع وتحميلها تلقائيًا أثناء الاختبارات أو النشر، مما يؤدي إلى حدوث أخطاء غير آمنة إلغاء التسلسل in CI/CD pipelineقبل أن يصل الكود إلى مرحلة الإنتاج.