.NET代码审计基础

.NET代码审计基础

首先，.net的站点在文件上传getshell时常见的绕过后缀包含：asp、aspx、ashx、soap、cer，在getshell后，网站源码一般存放在bin目录下，即网站在发布时将aspx文件进行编译后转换成的dll文件，dll可能会被混淆（如使用.NET Reactor进行混淆），可以利用工具进行反混淆，如de4dot。

因此我们如果拿到shell后想“备份”一下源码，往往只需要网站的业务dll即可，这部分文件通常大小只有几百kb大小，其他杂七杂八的dll则不需要，其类似其他语言中的公共包，在程序运行时需要时再下载即可。

在有网站主要的dll源码文件后，使用dnspy反编译如下：

可以看到在代码头部存在一个路由注解：[Route("api/[controller]/[action]")]，这是一个路由模板，[ApiController] 标明这是一个API控制器，通过Chat GPT解释，我觉得其中比较重要一点的：

自动请求验证 (Model Validation)：

如果请求的数据不符合模型要求 (例如 Required 的请求参数或内容缺失)，ASP.NET Core 会自动返回 400 Bad Request，而不需要手动检查 ModelState.IsValid。

简化参数绑定：

允许 API 直接从请求体 ([FromBody])、URL 查询参数 ([FromQuery])、路由 ([FromRoute]) 解析参数，而不需要显式声明。

自动推断路由URI：

如果 Controller 上没有 [Route]，ASP.NET Core 会自动推导出 默认的路由前缀

关于自动推断路由，比如UsersController，那么可以直接访问/users，如果写了[Route("api/[controller]")]，或者[Route("api/[controller]/[action]")]这些占位符，那么也是可以自动推断路由，比如这里，接着看代码：

这里则会自动推断uri为：

/api/FileInfo/UploadFileOne

也就是说自动推断路由会自动的去掉类名中的Controller、Async等，取前面的类名为uri路径

接着可以看到在其方法内部有很多<>4__this字样，这是由于编译器会将异步方法转换成状态机代码，当编译器看到 async/await 关键字时，会生成在代码中看到的状态机代码。这些生成的代码包含了<>t__builder、<>4__this 等看起来奇怪的变量名，所以目前我们只能通过自己的判断去分析其具体的调用。

不过，使用dotPeek来反编译，可以看到完整的源代码，可以看到UploadFileOneAsync和UploadFileAsync方法的完整代码都分别反编译出来了：

但是这里存在一个问题，其仅仅是返回了contentType对应的后缀，而并没有拿他和用户上传的后缀进行比对，因此只要Content-Type伪造对了就可以了……，这里依然是任意文件格式都可以上传，再然后UploadFileAsync和UploadFileOneAsync会分别进行文件写入的过程，前者是调用UploadFileSerive，后者则直接进行了写入。

poc：