使用 xstream 进行恶意对象注入

Question

我可以安全地使用 XStream 处理来自系统外部的 XML 吗？ 使用 xstream 处理“潜在恶意 XML”时的最佳实践是什么？

比方说，我的代码中有一个类，如下所示：

 package hazard;
 class Dangerous {
    public Dangerous() {
       AtomicBomb.getInstance().nuke();
    }
 }

恶意用户可能会提交一个 XML 文件，例如：

 <hazard.Dangerous/>

并使 XStream 调用 nuke() 方法。

这个例子非常理论化。正如所指出的，我不希望构造函数做这种事情。但我可以确定类路径中可用的任何库中的构造函数都没有此类问题（例如，分配一些资源，例如文件描述符）。

关键是发送 XML 文件允许攻击者创建任意对象。一种更现实的方法可能是使用某个类而不是另一个类。

public class Foo<T implements Bar> {
    private T t;
    // Getters/setters ...
}

public interface Bar {
   public void bar();
}

public class Bar1 implements Bar {
   // ...
}

public class Bar2 implements Bar {
   // ...
}

使用（恶意）XML 输入：

<foo>
  <!-- I expect bar1 -->
  <package.Bar2/>
</foo>

现在使用 Java 代码：

Bar<Foo1> bar = (Bar<Foo1>) xstream.fromXML(xml);
// I expect to have a bar1 but I have a bar2.
bar.getT().foo();

乍一看，解决方案是提供一个自定义 Mapper（该工作在 realClass() 方法中完成）。

Answer 1

永远不要允许 xstream（或任何其他序列化框架）编组除干净、纯 javabean（getter 和 setter）之外的任何内容。

更新：
您提到的有关使用映射器的理论应该有效，尽管它需要您构建一定数量的脚手架和自定义配置。另一种方式是利用XStream的特性来指定一个专用的类加载器来解析类。您将尝试将所有应该允许由 xstream 编组的类放入单独的 JAR 中（将其视为域模块）。然后创建一个干净的类加载器，仅加载该 JAR 并将其分配给 xstream。这样，xstream 将不知道其范围之外的任何类，从而无法反序列化您不希望它执行的任何内容。

尝试类似的东西

ClassLoader bootstrapClassLoader = ClassLoader.getSystemClassLoader().getParent();
List urls = new ArrayList();
urls.add(new File("yourJarOfXstreamBeanClasses.jar").toURL());
ClassLoader xstreamClassLoader = new URLClassLoader(urls.toArray(new URL[0]), bootstrapClassLoader);
XStream xstream = new XStream();
xstream.setClassLoader(xstreamClassLoader);

Answer 2

如果您的开发团队中有人调用 DangerousClass() 怎么办？ XStream 将保留该对象，如果您正在读取该对象并且 XML 已更改，您最多将收到 ClassCastException。

尝试改变你的类的结构，然后使用XStream读入，你会得到错误。如果保留将在数据库查询中使用的参数，请确保使用准备好的语句。如果您将可能损坏系统的代码放入对象构造函数中，那就是错误的编码实践。使用构造函数来初始化值，而不是调用代码，这就是方法的用途。

如果编码正确，就不应该存在与 XStream 相关的安全风险。