通过发送 JSON 执行命令？了解 Ruby 项目中的不安全反序列化漏洞

攻击者可以通过发送JSON执行任意命令，如果代码中存在不安全的反序列化漏洞。

不安全的反序列化漏洞可以通过构建恶意类链来实现，本文使用Oj JSON序列化库进行示例。

不安全反序列化漏洞的检测可以通过CodeQL进行，提供了样本利用代码的存储库链接。

不安全反序列化漏洞通常与反序列化库支持多态性有关，攻击者可以利用此特性执行代码。

使用Oj库反序列化JSON时，默认情况下支持实例化JSON中指定的类，需谨慎使用。

在Ruby中，hash方法可以作为触发代码执行的起点，利用hash方法可以构建恶意载荷。

构建有效的恶意载荷需要使用目标Ruby项目或其依赖项中的类，通常需要找到可用的类。

通过组合不同的类和方法，可以构建出完整的恶意载荷链，最终实现远程代码执行。

如果有源代码，可以使用CodeQL检测不安全的反序列化漏洞，识别不安全的反序列化接收点。

不同的Ruby序列化库中存在不安全反序列化漏洞的可疑点，需进行手动代码审查或使用代码扫描工具。