Vlákno názorů k článku Postřehy z bezpečnosti: DeepSeek přenáší citlivá data nešifrovaně na servery v ČLR od radekm - ViewState je metoda používaná ve frameworku ASP.NET k...

ViewState je metoda používaná ve frameworku ASP.NET k uchování hodnot stránek a ovládacích prvků mezi zpětnými zálohami.

Co to jsou zpetne zalohy?

Nemel ViewState jen uchovavat stav aplikace napric HTTP pozadavky? Tj. obchazet bezestavovost HTTP?

Strojový překlad slova postback. Tedy že stránka udělá celkový POST a v hidden poli viewstate byla uložená data o stavu, aby se použil pro nové vykreslení.

Ale to RCE není obecná vlastnost mechanismu viewstate. To je jen chyba nějaké konkrétní webové aplikace, že se ta data na straně serveru zpracovávala nevhodným způsobem, že slepě věřili, že se jim vrátí jen to co tam vložili.

Musím se opravit, RCE je opakovaně se vyskytující chyba mechanismu, kterým .net deserializuje data...
https://github.com/pwntester/ysoserial.net

To bude asi něco podobného, jako pickle v pythonu, případně unserialialize v PHP. Všechny tyto podobné funkce se dají zneužít, pokud se do nich předá uživatelský vstup, protože dovolují vytvořit instanci jakékoliv třídy a nastavit jakékoliv její atributy (vč. private).

Je to všeobecný problém serializujúcich knižníc. Mal som na Githube zopár cvičných príkladov
s Java Jackson knižnicou, spolu s Maven konfiguráciou a verziou Jacksonu. Zavalil ma nekončiaci prúd bezpečnostných warningov, že si mám upgradovať verziu na novšiu, lebo v tej starej je bug.