કેવી રીતે અસુરક્ષિત ડિસેરિયલાઇઝેશન રિમોટ કોડ એક્ઝેક્યુશન બની જાય છે (અને મર્જ કરતા પહેલા તેને કેવી રીતે પકડવું)

આ Commit જેણે પાછળનો દરવાજો ખોલ્યો

વપરાશકર્તા દ્વારા અપલોડ કરાયેલા ઑબ્જેક્ટ્સને હેન્ડલ કરવા માટે એક નવી સુવિધા મર્જ કરવામાં આવી છે. બધું પરીક્ષણોમાંથી પસાર થાય છે, પરંતુ અઠવાડિયા પછી, પેન્ટેસ્ટ દર્શાવે છે કે હુમલાખોરો સર્વર પર આદેશો ચલાવી શકે છે; કોડમાં છુપાયેલા અસુરક્ષિત ડિસેરિયલાઇઝેશનનું પરિણામ. ડિસેરિયલાઇઝેશનથી રિમોટ કોડ એક્ઝિક્યુશન સુધીનું અંતર ખતરનાક રીતે નાનું હોઈ શકે છે, ખાસ કરીને જ્યારે ઓપન સોર્સ પેકેજો અથવા આંતરિક સેવાઓમાંથી સીરીયલાઇઝ્ડ ડેટાને માન્યતા વિના વિશ્વાસ કરવામાં આવે છે.

કોડમાં ડિસેરિયલાઇઝેશન શું છે, તે શા માટે જોખમી છે, અને તે ક્યાં છુપાયેલું છે

ડેવલપરની દ્રષ્ટિએ, ડિસેરિયલાઇઝેશન શું છે? તે સ્ટ્રક્ચર્ડ ડેટા, JSON, XML, બાઈનરી ફોર્મેટ અથવા ભાષા-વિશિષ્ટ સીરીયલાઇઝ્ડ ઑબ્જેક્ટ્સને લેવાની અને તેમને મેમરીમાં પાછા ઑબ્જેક્ટમાં ફેરવવાની પ્રક્રિયા છે.

તેના પોતાના પર, ડિસેરિયલાઇઝેશન હાનિકારક અને સામાન્ય છે, ઉદાહરણ તરીકે:

• જાવા: સાથે વસ્તુઓ વાંચવી ઑબ્જેક્ટઇનપુટસ્ટ્રીમ
  
• પાયથોન: ડેટા લોડ કરી રહ્યું છે પિકેલ.લોડ
  
• Node.js: JSON ને આની સાથે પાર્સ કરી રહ્યું છે JSON.parse
  

જ્યારે માન્યતા વિના અવિશ્વસનીય ડેટા પર ડિસેરિયલાઇઝેશન લાગુ કરવામાં આવે છે ત્યારે જોખમ દેખાય છે. હુમલાખોર ગેજેટ ચેઇનને ટ્રિગર કરે છે તેવા ઇનપુટ બનાવી શકે છે, હાલના કોડ પાથનો ઉપયોગ અનિચ્છનીય રીતે થાય છે, જે રિમોટ કોડ એક્ઝેક્યુશન તરફ દોરી શકે છે.

અસુરક્ષિત ડિસેરિયલાઇઝેશન ઘણીવાર આમાં જોવા મળે છે:

• ઓપન સોર્સ પેકેજો અસુરક્ષિત ડિફોલ્ટ્સ સાથે
  
• કસ્ટમ કોડ જે ધારે છે કે શ્રેણીબદ્ધ ઇનપુટ વિશ્વસનીય છે
  
• તૃતીય-પક્ષ API ચકાસણી વિના શ્રેણીબદ્ધ ઑબ્જેક્ટ પરત કરી રહ્યા છે
  
• કલાકૃતિઓ બનાવો જેમ કે:
  
  • જાવા .સેર પૂર્વ-સિરિયલાઇઝ્ડ ઑબ્જેક્ટ્સ ધરાવતી ફાઇલો.
    
  • પાયથોન .પીકેએલ મશીન લર્નિંગ વર્કફ્લોમાં મોડેલ ફાઇલો.
    
  • ડોકર છબીઓ અથવા ડિપ્લોયમેન્ટ કન્ટેનરમાં એમ્બેડ કરેલા સીરીયલાઇઝ્ડ કન્ફિગરેશન ઑબ્જેક્ટ્સ
    

• ટેસ્ટ ફિક્સર જેમ કે:
  
  
  • પ્રોડક્શન સ્નેપશોટમાંથી કોપી કરાયેલ જૂનો શ્રેણીબદ્ધ પરીક્ષણ ડેટા.
    
  • પ્રદર્શન અથવા રીગ્રેશન પરીક્ષણો માટે બાહ્ય ભંડારોમાંથી ડાઉનલોડ કરાયેલ શ્રેણીબદ્ધ પેલોડ્સ.
    

આ ફાઇલોને રિપોઝીટરીમાં દાખલ કરી શકાય છે અને પરીક્ષણો અથવા ડિપ્લોયમેન્ટ દરમિયાન આપમેળે લોડ કરી શકાય છે, જે અસુરક્ષિત બનાવે છે. ડિસેરિયલાઇઝેશન in CI/CD pipelineકોડ ઉત્પાદન સુધી પહોંચે તે પહેલાં.