.NET 介绍一种漏洞挖掘思路，绕过 GZip 实现反序列化

在.NET反序列化漏洞审计与利用过程中，攻击者通过 BinaryFormatter 类型进行 payload 加载与执行。本文将从 GZip 技术基础出发，逐步分析如何结合 BinaryFormatter 触发反序列化漏洞，并介绍审计过程中常见的绕过点。

在 .NET 中，GZipStream 类位于 System.IO.Compression 命名空间下，它提供了对 GZip 格式的压缩与解压支持。常用于对数据进行空间优化存储或传输，数据压缩的基本用法代码如下所示。

byte[] rawData = Encoding.UTF8.GetBytes("Hello, world!");using(var ms =newMemoryStream()){using(var gzip =newGZipStream(ms, CompressionMode.Compress)){        gzip.Write(rawData,0, rawData.Length);}byte[] compressed = ms.ToArray();}

压缩完后，把 MemoryStream 里的内容转成 byte。

BinaryFormatter 是 .NET 中的二进制序列化类，将任意 [Serializable] 标记的对象进行序列化与反序列化，包括复杂对象图。

BinaryFormatter bf =newBinaryFormatter();object obj = bf.Deserialize(stream);

在一些 Web 应用中，开发者可能对输入流进行了压缩处理，例如读取本地缓存、配置文件等场景。