.NET一款反序列化执行命令的白名单工具

Sharp4AddUtil.exe 是一款用于管理和配置 Microsoft Office 加载项的 Windows 系统实用工具，具备了微软签名，属于系统白名单文件。一般用于帮助用户和开发者进行加载项的安装、卸载和修复，提供了一种简便的方式来处理 Office 加载项相关的问题。尽管 Sharp4AddUtil.exe 提供了多种便利功能，但它也存在严重的反序列化漏洞。这一漏洞允许攻击者利用该工具加载恶意的载荷，可能导致系统受到威胁。

首先，通过TextFormattingRunProperties链路，生成一个包含反序列化Poc的攻击载荷，载荷内容如下图所示。

接着，运行如下命令即可完成反序列化漏洞，弹出winver.exe进程，具体命令如下所示。

Sharp4AddUtil.exe -AddinRoot:.

在上文中，我们介绍了 Sharp4AddUtil.exe 的基本功能和反序列化漏洞。接下来，我们将进一步分析工具中的其他重要方法，以理解其在加载项管理中的具体实现。UpdateAddInsIfExist 方法检查加载项路径是否存在，且 AddIns.store 文件是否不存在或已过期。如果满足条件，调用 AddInStore.BuildAddInCache 方法构建或更新加载项缓存。

private static void UpdateAddInsIfExist(string addInsPath, Collection<string> warningsCollection)
{
    string path = Path.Combine(addInsPath, "AddIns.store");
    FileIOPermission fileIOPermission = new FileIOPermission(FileIOPermissionAccess.Read | FileIOPermissionAccess.PathDiscovery, addInsPath);
    fileIOPermission.Assert();
    if (Directory.Exists(addInsPath) && (!File.Exists(path) || AddInStore.AddInStoreIsOutOfDate(addInsPath)))
    {
        AddInStore.BuildAddInCache(addInsPath, warningsCollection);
    }
}

随后，AddInStoreIsOutOfDate 方法通过 GetAddInDeploymentState 方法获取当前的加载项部署状态，并检查其文件计数是否与期望值一致，确定加载项是否过期。

private static bool AddInStoreIsOutOfDate(string addInPath)
{
    if (addInPath == null)
    {
        throw new ArgumentNullException("addInPath");
    }
    string path = Path.Combine(addInPath, "AddIns.store");
    DateTime lastWriteTime = File.GetLastWriteTime(path);
    int num = 0;
    if (Directory.Exists(addInPath))
    {
        foreach (string path2 in Directory.GetDirectories(addInPath))
        {
            if (AddInStore.DirectoryNeedsUpdating(path2, lastWriteTime, ref num))
            {
                return true;
            }
        }
    }
    AddInDeploymentState addInDeploymentState = AddInStore.GetAddInDeploymentState(addInPath);
    return addInDeploymentState == null || num != addInDeploymentState.FileCount;
}

[SecuritySafeCritical]
private static T ReadCache<T>(string storeFileName, bool mustExist)
{
    new SecurityPermission(SecurityPermissionFlag.SerializationFormatter).Demand();
    new FileIOPermission(FileIOPermissionAccess.Read | FileIOPermissionAccess.PathDiscovery, storeFileName).Assert();
    BinaryFormatter binaryFormatter = new BinaryFormatter();
    T result = default(T);
    if (File.Exists(storeFileName))
    {
       using (Stream stream = File.OpenRead(storeFileName))
        {
             if (stream.Length < 12L)
                    {
                        throw new InvalidOperationException(string.Format(CultureInfo.CurrentCulture, Res.DeployedAddInsFileCorrupted, new object[] { storeFileName }));
                    }
                    BinaryReader binaryReader = new BinaryReader(stream);
                    int num = binaryReader.ReadInt32();
                    long num2 = binaryReader.ReadInt64();
                    try
                    {
                        result = (T)((object)binaryFormatter.Deserialize(stream));
                    }
                    catch (Exception innerException)
                    {
                        throw new InvalidOperationException(string.Format(CultureInfo.CurrentCulture, Res.CantDeserializeData, new object[] { storeFileName }), innerException);
                    }
        }
    }
}

综上，Sharp4AddUtil.exe 是一款功能丰富的 Office 加载项管理工具，能够高效地管理加载项的安装与更新。尽管提供了许多便利功能，但反序列化漏洞可以帮助红队利用白名单方式运行恶意代码。工具已经打包在星球，感兴趣的朋友可以加入自取。

从漏洞分析到安全攻防，我们涵盖了.NET安全各个关键方面，为您呈现最新、最全面的.NET安全知识，下面是公众号发布的精华文章集合，推荐大家阅读！

目前dot.Net安全矩阵星球已成为中国.NET安全领域最知名、最活跃的技术知识库之一，从.NET Framework到.NET Core，从Web应用到PC端软件应用，无论您是初学者还是经验丰富的开发人员，都能在这里找到对应的安全指南和最佳实践。

星球汇聚了各行业安全攻防技术大咖，并且每日分享.NET安全技术干货以及交流解答各类技术等问题，社区中发布很多高质量的.NET安全资源，可以说市面上很少见，都是干货。

星球文化始终认为授人以鱼不如授人以渔！加入星球后可以跟星主和嘉宾们一对一提问交流，20+个专题栏目涵盖了点、线、面、体等知识面，助力师傅们快速成长！其中主题包括.NET Tricks、漏洞分析、内存马、代码审计、预编译、反序列化、webshell免杀、命令执行、C#工具库等等。

    我们倾力打造专刊、视频等配套学习资源，循序渐进的方式引导加深安全攻防技术提高以及岗位内推等等服务。

我们还有一个会员专属的内部星球陪伴群，加入的成员可以通过在群里提出问题或参与论的方式来与其他成员交流思想和经验。此外还可以通过星球或者微信群私聊向我们进行提问，以获取帮助迅速解决问题。

为了助力大家在2024国家级hvv演练中脱颖而出，我们特别整理出了一套涵盖dotNet安全矩阵星球的八大.NET相关方向工具集。

.NET 免杀WebShell
.NET 反序列化漏洞
.NET 安全防御绕过
.NET 内网信息收集
.NET 本地权限提升
.NET 内网横向移动
.NET 目标权限维持
.NET 数据外发传输

这些阶段所涉及的工具集不仅代表了当前.NET安全领域的最前沿技术，更是每一位网络安全爱好者不可或缺的实战利器。