强化vs DataContractJsonSerializer

运行HP Fortify对抗C#/。NET项目。将一个JSON文档从一个Web源提供给另一个Web源的行为。净的 DataContractJsonSerializer 触发Fortify中的“JSON注入”问题。

下面的代码片段可能会导致它:

WebClient wc = new WebClient();
string s = wc.DownloadString(SomeURL);
using (MemoryStream mst = new MemoryStream(Encoding.UTF8.GetBytes(s)))
    return new DataContractJsonSerializer(typeof(SomeType)).ReadObject(mst) as SomeType;

Fortify这样反序列化JSON有什么问题?这个班一直在上课。现在有一段时间了。

编辑:引用描述:

1. 数据从不受信任的来源进入程序。

在本例中,数据在SF中的DownloadString()处输入。cs在43号线。

2. 数据被写入JSON流。

在本例中,JSON由SF中的ReadObject()编写。cs在45号线。

应用程序通常使用JSON存储数据或发送消息。什么时候 用于存储数据的JSON通常被视为缓存数据,可能会 可能包含敏感信息。用于发送消息时, JSON通常与RESTful服务结合使用,可以 用于传输身份验证等敏感信息 资格证书

如果 应用程序从未验证的输入构造JSON。以相对的方式 在良性情况下,攻击者可能会插入无关元素 这会导致应用程序在解析JSON时引发异常 文件或请求。在更严重的情况下,例如涉及 JSON注入后,攻击者可能会插入无关元素 允许对关键业务进行可预测的操纵 JSON文档或请求中的值。在某些情况下,JSON 注入可能导致跨站点脚本或动态代码评估。

好的,总结一下,恶意JSON的风险是:

1. 例外情况
2. 逻辑操作
3. XSS或动态评估

第一是期望的行为——如果JSON格式严重错误,应用程序就会举手停止#2是可能的,但是我如何在没有解析的情况下验证它呢#3是不可能的,因为解析逻辑不是JavaScript eval() .

EDIT2:另一个。NET的JSON阅读器, JavaScriptSerializer ,不会导致加固错误。奇怪的