.NET Framework 远程处理中的自动反序列化漏洞

Question

大家好

请参阅以下有关 .NET Framework 远程处理中的自动反序列化的知识

我们的服务使用 BinaryServerFormatterSinkProvider 类，并将 TypeLevelFilter 设置为 Full， 并且由于某些遗留原因，它无法更改为 WCF。 有什么方法可以防止攻击风险吗？

Note：此问题总结整理于:vulnerability for Automatic Deserialization in .NET Framework Remoting

Answer 1

根据文档：您应该将 .NET Remoting 视为一种不安全的通信协议，并且仅在完全受信任的环境中使用它。切勿向 Internet 或不受信任的客户端公开公共远程处理终结点。 另请参阅：

1. .NET 远程处理 IPC 通道
2. 改进的 .NET 远程处理

希望他们能有所帮助。 此外，由于 .NET Remoting 无法维护客户端和服务器之间的单独信任级别，因此我建议您改用 WCF。

如果回复有帮助，请单击“接受答案”并投赞成票。

注意：如果您想接收此线程的相关电子邮件通知，请按照我们文档中的步骤启用电子邮件通知。