Nesigurna deserijalizacijaInsecure Deserialization

Pretnja u centru, tehnike kojima se izvodi levo, odbrane koje je suzbijaju desno. Ispod — mapa faza napada: kojom tehnikom se ulazi i koja odbrana je presreće.

↘ Tehnike kojima se izvodi2

Tehnike kojima se izvodi. Klik vodi na stranicu pojma.

pretnja · № 046 · aplikacije

Nesigurna deserijalizacijaInsecure Deserialization

Deserijalizacija je vraćanje zapakovanog objekta u oblik koji aplikacija može da koristi. Problem nastaje kada aplikacija prihvati objekat iz nepouzdanog izvora i obradi ga kao da je bezbedan. Tada napadač ne šalje samo podatke, nego posebno pripremljenu strukturu koja može da promeni tok izvršavanja.

↓ mapa faza · kojom tehnikom se ulazi, koja odbrana presreće

faza · ubacivanje · tehnika Posebno pripremljen serijalizovan objekat

presreće · odbrana Izbegavanje deserijalizacije nepoverljivih podataka · validacija · potpisivanje

faza · izvršavanje · tehnika Gadget chain, promena logike ili izvršavanje koda

presreće · odbrana Patch biblioteka · sandbox · ograničen skup dozvoljenih tipova

faza · uporište · tehnika Dalji pristup serveru ili eskalacija

presreće · odbrana Least privilege · EDR · logging-monitoring

↗ Kako se brani4

Kako se brani. Klik vodi na stranicu pojma.