CA2305：请勿使用不安全的反序列化程序 LosFormatter

值

规则 ID

CA2305

类别

安全性

修复是中断修复还是非中断修复

非中断

原因

调用或引用了 System.Web.UI.LosFormatter 反序列化方法。

规则说明

反序列化不受信任的数据时，不安全的反序列化程序易受攻击。 攻击者可能会修改序列化数据，使其包含非预期类型，进而注入具有不良副作用的对象。 例如，针对不安全反序列化程序的攻击可以在基础操作系统上执行命令，通过网络进行通信，或删除文件。

此规则会查找 System.Web.UI.LosFormatter 反序列化方法调用或引用。

LosFormatter 不安全，无法确保安全。 有关详细信息，请参阅 BinaryFormatter 安全指南。

如何解决冲突

改用安全的序列化程序，并且不允许攻击者指定要反序列化的任意类型。 有关详细信息，请参阅首选替代方案。

使序列化的数据免被篡改。 序列化后，对序列化的数据进行加密签名。 在反序列化之前，验证加密签名。 保护加密密钥不被泄露，并设计密钥轮换。

何时禁止显示警告

LosFormatter 不安全，无法确保安全。

伪代码示例

冲突

using System.IO;

using System.Web.UI;

public class ExampleClass

{

public object MyDeserialize(byte[] bytes)

{

LosFormatter formatter = new LosFormatter();

return formatter.Deserialize(new MemoryStream(bytes));

}

}

Imports System.IO

Imports System.Web.UI

Public Class ExampleClass

Public Function MyDeserialize(bytes As Byte()) As Object

Dim formatter As LosFormatter = New LosFormatter()

Return formatter.Deserialize(New MemoryStream(bytes))

End Function

End Class