mirror of
https://github.com/carlospolop/hacktricks
synced 2024-11-22 20:53:37 +00:00
Translated ['pentesting-web/deserialization/nodejs-proto-prototype-pollu
This commit is contained in:
Translator
parent
f5408d0fd5
commit
9477c999f9
1 changed files with 46 additions and 42 deletions
|
|
@ -2,19 +2,19 @@
|
|||
|
||||
<details>
|
||||
|
||||
<summary><strong>从零开始学习AWS黑客技术，成为专家</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS红队专家）</strong></a><strong>！</strong></summary>
|
||||
<summary><strong>从零开始学习AWS黑客技术，成为专家</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS Red Team Expert）</strong></a><strong>！</strong></summary>
|
||||
|
||||
支持HackTricks的其他方式：
|
||||
其他支持HackTricks的方式：
|
||||
|
||||
* 如果您想看到您的**公司在HackTricks中做广告**或**下载PDF格式的HackTricks**，请查看[**订阅计划**](https://github.com/sponsors/carlospolop)!
|
||||
* 获取[**官方PEASS & HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* 探索[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品
|
||||
* **加入** 💬 [**Discord群**](https://discord.gg/hRep4RUj7f) 或 [**电报群**](https://t.me/peass) 或在**Twitter**上关注我们 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
|
||||
* 探索[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)
|
||||
* **加入** 💬 [**Discord群**](https://discord.gg/hRep4RUj7f) 或 [**电报群**](https://t.me/peass) 或 **关注**我们的**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* 通过向[**HackTricks**](https://github.com/carlospolop/hacktricks)和[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github仓库提交PR来分享您的黑客技巧。
|
||||
|
||||
</details>
|
||||
|
||||
## JavaScript中的对象 <a href="#053a" id="053a"></a>
|
||||
## JavaScript中的对象 <a href="#id-053a" id="id-053a"></a>
|
||||
|
||||
JavaScript中的对象本质上是键值对的集合，称为属性。可以使用`Object.create`方法并将`null`作为参数来创建一个空对象。这种方法允许创建一个没有任何继承属性的对象。
|
||||
```javascript
|
||||
|
|
@ -45,19 +45,19 @@ employee1.__proto__
|
|||
|
||||
JavaScript允许在运行时修改、添加或删除原型属性。这种灵活性使得可以动态扩展类的功能。
|
||||
|
||||
像`toString`和`valueOf`这样的函数可以被修改以改变它们的行为，展示了JavaScript原型系统的适应性。
|
||||
像`toString`和`valueOf`这样的函数可以被改变以改变它们的行为，展示了JavaScript原型系统的适应性。
|
||||
|
||||
## 继承
|
||||
|
||||
在基于原型的编程中，属性/方法是从类继承到对象的。这些类是通过将属性/方法添加到另一个类的实例或空对象中创建的。
|
||||
在基于原型的编程中，属性/方法是从类中继承给对象的。这些类是通过将属性/方法添加到另一个类的实例或空对象中创建的。
|
||||
|
||||
值得注意的是，当将属性添加到充当其他对象原型（如`myPersonObj`）的对象时，继承对象就可以访问这个新属性。但是，除非显式调用，否则不会自动显示此属性。
|
||||
值得注意的是，当将属性添加到充当其他对象原型的对象（如`myPersonObj`）时，继承对象将获得对这个新属性的访问权限。然而，除非显式调用，否则不会自动显示此属性。
|
||||
|
||||
## \_\_proto\_\_污染 <a href="#0d0a" id="0d0a"></a>
|
||||
## \_\_proto\_\_污染 <a href="#id-0d0a" id="id-0d0a"></a>
|
||||
|
||||
## 探索JavaScript中的原型污染
|
||||
|
||||
JavaScript对象由键值对定义，并从JavaScript对象原型继承。这意味着修改Object原型可能会影响环境中的所有对象。
|
||||
JavaScript对象由键值对定义，并继承自JavaScript对象原型。这意味着修改Object原型可能会影响环境中的所有对象。
|
||||
|
||||
让我们使用一个不同的示例来说明：
|
||||
```javascript
|
||||
|
|
@ -66,7 +66,7 @@ this.model = model;
|
|||
}
|
||||
var car1 = new Vehicle("Tesla Model S");
|
||||
```
|
||||
可以通过以下方式访问Object原型：
|
||||
可以通过以下方式访问对象原型：
|
||||
```javascript
|
||||
car1.__proto__.__proto__;
|
||||
Vehicle.__proto__.__proto__;
|
||||
|
|
@ -102,7 +102,7 @@ console.log(car1.hasWheels); // Outputs true
|
|||
car1.constructor.prototype.honk = function() { console.log("Honk!"); };
|
||||
car1.constructor.prototype.isElectric = true;
|
||||
```
|
||||
这仅影响从`Vehicle`构造函数创建的对象，赋予它们`beep`、`hasWheels`、`honk`和`isElectric`属性。
|
||||
这仅影响从`Vehicle`构造函数创建的对象，为它们提供`beep`、`hasWheels`、`honk`和`isElectric`属性。
|
||||
|
||||
全局影响JavaScript对象的两种方法包括：
|
||||
|
||||
|
|
@ -119,7 +119,7 @@ example.constructor.prototype.greet = function() { console.log("Hello!"); };
|
|||
|
||||
### 从类到Object.prototype
|
||||
|
||||
在一个场景中，你可以**污染特定对象**并且需要**访问`Object.prototype`**，你可以使用类似以下代码进行搜索：
|
||||
在一个场景中，您可以**污染特定对象**并且需要**访问`Object.prototype`**，您可以使用类似以下代码进行搜索：
|
||||
```javascript
|
||||
// From https://blog.huli.tw/2022/05/02/en/intigriti-revenge-challenge-author-writeup/
|
||||
|
||||
|
|
@ -142,7 +142,7 @@ console.log(key1 + "." + key2)
|
|||
```
|
||||
### 数组元素污染
|
||||
|
||||
请注意，正如您可以污染JS中对象的属性一样，如果您可以污染一个数组，您也可以**污染数组的值**，这些值可以通过**索引**访问（请注意，您无法覆盖值，因此您需要污染某种方式使用但未写入的索引）。
|
||||
请注意，正如您可以污染JS对象的属性一样，如果您可以访问污染一个数组，您也可以**污染数组的值**，这些值可以通过**索引**访问（请注意，您无法覆盖值，因此您需要污染某种方式使用但未写入的索引）。
|
||||
```javascript
|
||||
c = [1,2]
|
||||
a = []
|
||||
|
|
@ -154,7 +154,7 @@ c[1] // 2 -- not
|
|||
```
|
||||
### Html元素污染
|
||||
|
||||
在通过JS生成HTML元素时，可以**覆盖** **`innerHTML`** 属性，使其编写**任意HTML代码。** [灵感和示例来自此文](https://blog.huli.tw/2022/04/25/en/intigriti-0422-xss-challenge-author-writeup/).
|
||||
在通过JS生成HTML元素时，可以**覆盖** **`innerHTML`** 属性，使其编写**任意HTML代码。** [Idea and example from this writeup](https://blog.huli.tw/2022/04/25/en/intigriti-0422-xss-challenge-author-writeup/).
|
||||
|
||||
{% code overflow="wrap" %}
|
||||
```javascript
|
||||
|
|
@ -173,13 +173,13 @@ settings[root][ownerDocument][body][innerHTML]="<svg onload=alert(document.domai
|
|||
|
||||
### 基本示例
|
||||
|
||||
原型污染是由于应用程序中存在漏洞，允许在 `Object.prototype` 上覆盖属性。这意味着由于大多数对象从 `Object.prototype` 派生其属性
|
||||
由于应用程序中存在允许在 `Object.prototype` 上覆盖属性的缺陷，导致原型污染。这意味着由于大多数对象从 `Object.prototype` 派生其属性，
|
||||
|
||||
最简单的示例是向将要被检查的对象的**未定义属性**添加一个值，如下所示：
|
||||
```javascript
|
||||
if (user.admin) {
|
||||
```
|
||||
如果属性**`admin`未定义**，就有可能滥用原型污染并将其设置为True，类似于以下操作：
|
||||
如果属性 **`admin` 未定义**，就有可能滥用原型污染并将其设置为 True，类似于以下操作：
|
||||
```javascript
|
||||
Object.prototype.isAdmin = true
|
||||
let user = {}
|
||||
|
|
@ -187,11 +187,13 @@ user.isAdmin // true
|
|||
```
|
||||
这种机制涉及操纵属性，使得如果攻击者控制了某些输入，他们可以修改应用程序中所有对象的原型。这种操纵通常涉及设置`__proto__`属性，在JavaScript中，这等同于直接修改对象的原型。
|
||||
|
||||
可以成功执行此攻击的条件如下所述：[研究](https://github.com/HoLyVieR/prototype-pollution-nsec18/blob/master/paper/JavaScript_prototype_pollution_attack_in_NodeJS.pdf)：
|
||||
可以成功执行此攻击的条件，如特定[研究](https://github.com/HoLyVieR/prototype-pollution-nsec18/blob/master/paper/JavaScript\_prototype\_pollution\_attack\_in\_NodeJS.pdf)中所述，包括：
|
||||
|
||||
- 执行递归合并。
|
||||
- 基于路径定义属性。
|
||||
- 克隆对象。
|
||||
* 执行递归合并。
|
||||
* 根据路径定义属性。
|
||||
* 克隆对象。
|
||||
|
||||
### 覆盖函数
|
||||
```python
|
||||
customer.__proto__.toString = ()=>{alert("polluted")}
|
||||
```
|
||||
|
|
@ -209,43 +211,45 @@ customer.__proto__.toString = ()=>{alert("polluted")}
|
|||
|
||||
### CVE-2019–11358: 通过jQuery $ .extend进行原型污染攻击
|
||||
|
||||
[有关更多详细信息，请查看此文章](https://itnext.io/prototype-pollution-attack-on-nodejs-applications-94a8582373e7)
|
||||
在jQuery中，如果深度复制功能被错误使用，`$ .extend`函数可能导致原型污染。该函数通常用于克隆对象或从默认对象合并属性。但是，当配置错误时，本应分配给新对象的属性可能被分配给原型。例如：
|
||||
[有关更多详细信息，请查阅此文章](https://itnext.io/prototype-pollution-attack-on-nodejs-applications-94a8582373e7) 在jQuery中，如果深度复制功能被错误使用，`$ .extend`函数可能导致原型污染。该函数通常用于克隆对象或从默认对象合并属性。然而，当配置错误时，本应分配给新对象的属性可能被分配给原型。例如：
|
||||
```javascript
|
||||
$.extend(true, {}, JSON.parse('{"__proto__": {"devMode": true}}'));
|
||||
console.log({}.devMode); // Outputs: true
|
||||
```
|
||||
### CVE-2019–11358漏洞说明
|
||||
这个漏洞，被标识为CVE-2019-11358，说明了深拷贝可能会无意中修改原型，导致潜在的安全风险，比如如果未经适当存在性验证就检查诸如`isAdmin`之类的属性，可能导致未经授权的管理员访问。
|
||||
|
||||
这个漏洞，被标识为CVE-2019–11358，展示了如何深度复制可能无意中修改原型，导致潜在的安全风险，比如如果未经适当存在性验证就检查`isAdmin`等属性，可能导致未经授权的管理员访问。
|
||||
### CVE-2018-3721，CVE-2019-10744：通过lodash进行原型污染攻击
|
||||
|
||||
### CVE-2018–3721，CVE-2019–10744：通过lodash进行原型污染攻击
|
||||
[有关更多详细信息，请查看此文章](https://itnext.io/prototype-pollution-attack-on-nodejs-applications-94a8582373e7)
|
||||
|
||||
[更多详情请查看这篇文章](https://itnext.io/prototype-pollution-attack-on-nodejs-applications-94a8582373e7)
|
||||
[Lodash](https://www.npmjs.com/package/lodash) 遇到了类似的原型污染漏洞（CVE-2018-3721，CVE-2019-10744）。这些问题已在版本4.17.11中得到解决。
|
||||
|
||||
[Lodash](https://www.npmjs.com/package/lodash) 遇到了类似的原型污染漏洞（CVE-2018–3721，CVE-2019–10744）。这些问题已在版本4.17.11中得到解决。
|
||||
|
||||
### 其他带有CVE的教程
|
||||
### 具有CVE的另一个教程
|
||||
|
||||
{% embed url="https://infosecwriteups.com/javascript-prototype-pollution-practice-of-finding-and-exploitation-f97284333b2" %}
|
||||
|
||||
### 用于检测原型污染的工具
|
||||
|
||||
* [**Server-Side-Prototype-Pollution-Gadgets-Scanner**](https://github.com/doyensec/Server-Side-Prototype-Pollution-Gadgets-Scanner)：Burp Suite扩展程序，旨在检测和分析Web应用程序中的服务器端原型污染漏洞。该工具自动化扫描请求的过程，以识别潜在的原型污染问题。它利用已知的小工具 - 利用原型污染执行有害操作的方法 - 特别关注Node.js库。
|
||||
* [**server-side-prototype-pollution**](https://github.com/portswigger/server-side-prototype-pollution)：此扩展程序识别服务器端原型污染漏洞。它使用[服务器端原型污染](https://portswigger.net/research/server-side-prototype-pollution)中描述的技术。
|
||||
|
||||
### NodeJS中的AST原型污染
|
||||
|
||||
NodeJS在JavaScript中广泛使用抽象语法树（AST）来实现功能，比如模板引擎和TypeScript。本节探讨了与模板引擎中原型污染相关的漏洞，特别是Handlebars和Pug。
|
||||
NodeJS在JavaScript中广泛使用抽象语法树（AST）来实现诸如模板引擎和TypeScript等功能。本节探讨了与模板引擎中原型污染相关的漏洞，特别是Handlebars和Pug。
|
||||
|
||||
#### Handlebars漏洞分析
|
||||
|
||||
Handlebars模板引擎容易受到原型污染攻击。这个漏洞源自`javascript-compiler.js`文件中的特定函数。例如，`appendContent`函数在存在`pendingContent`时连接它，而`pushSource`函数在添加源后将`pendingContent`重置为`undefined`。
|
||||
Handlebars模板引擎容易受到原型污染攻击。此漏洞源自`javascript-compiler.js`文件中的特定函数。例如，`appendContent`函数会在存在`pendingContent`时连接它，而`pushSource`函数在添加源代码后将`pendingContent`重置为`undefined`。
|
||||
|
||||
##### 攻击过程
|
||||
**利用过程**
|
||||
|
||||
利用Handlebars生成的AST（抽象语法树）进行攻击，遵循以下步骤：
|
||||
利用AST（抽象语法树）生成的Handlebars，遵循以下步骤：
|
||||
|
||||
1. **解析器的操纵**：首先，解析器通过`NumberLiteral`节点强制值为数字。原型污染可以绕过这一限制，允许插入非数字字符串。
|
||||
2. **编译器的处理**：编译器可以处理AST对象或字符串模板。如果`input.type`等于`Program`，则将输入视为预解析的，可以被利用。
|
||||
1. **解析器的操纵**：首先，解析器通过`NumberLiteral`节点强制值为数字。原型污染可以绕过这一点，使非数字字符串插入。
|
||||
2. **编译器的处理**：编译器可以处理AST对象或字符串模板。如果`input.type`等于`Program`，则将输入视为预解析，可以被利用。
|
||||
3. **代码注入**：通过操纵`Object.prototype`，可以将任意代码注入模板函数，可能导致远程代码执行。
|
||||
|
||||
一个演示利用Handlebars漏洞的示例：
|
||||
演示利用Handlebars漏洞的示例：
|
||||
```javascript
|
||||
const Handlebars = require('handlebars');
|
||||
|
||||
|
|
@ -302,7 +306,7 @@ requests.get(TARGET_URL)
|
|||
```
|
||||
#### Pug漏洞
|
||||
|
||||
Pug，另一个模板引擎，面临原型污染的类似风险。有关更详细信息，请参阅[Pug中的AST注入讨论](https://blog.p6.is/AST-Injection/#Pug)。
|
||||
Pug，另一个模板引擎，面临着原型污染的类似风险。有关更详细的信息，请参阅[Pug中的AST注入讨论](https://blog.p6.is/AST-Injection/#Pug)。
|
||||
|
||||
Pug中原型污染的示例：
|
||||
```python
|
||||
|
|
@ -327,12 +331,12 @@ requests.get(TARGET_URL)
|
|||
|
||||
1. **对象不可变性**：可以通过应用 `Object.freeze` 来使 `Object.prototype` 不可变。
|
||||
2. **输入验证**：JSON 输入应该严格根据应用程序的模式进行验证。
|
||||
3. **安全合并函数**：应避免不安全地使用递归合并函数。
|
||||
3. **安全合并函数**：应避免不安全使用递归合并函数。
|
||||
4. **无原型对象**：可以使用 `Object.create(null)` 创建没有原型属性的对象。
|
||||
5. **使用 Map**：应该使用 `Map` 而不是 `Object` 来存储键值对。
|
||||
6. **库更新**：可以通过定期更新库来整合安全补丁。
|
||||
7. **代码检查工具**：使用诸如 ESLint 等适当插件的工具来检测和防止原型污染漏洞。
|
||||
8. **代码审查**：实施彻底的代码审查，以识别和消除与原型污染相关的潜在风险。
|
||||
8. **代码审查**：实施彻底的代码审查，以识别和修复与原型污染相关的潜在风险。
|
||||
9. **安全培训**：教育开发人员有关原型污染的风险以及编写安全代码的最佳实践。
|
||||
10. **谨慎使用库**：在使用第三方库时要谨慎。评估它们的安全状况并审查它们的代码，特别是那些操作对象的代码。
|
||||
11. **运行时保护**：采用运行时保护机制，例如使用专注于安全的 npm 包，可以检测和防止原型污染攻击。
|
||||
|
|
@ -350,10 +354,10 @@ requests.get(TARGET_URL)
|
|||
|
||||
支持 HackTricks 的其他方式：
|
||||
|
||||
* 如果您想在 HackTricks 中看到您的 **公司广告** 或 **下载 PDF 版本的 HackTricks**，请查看 [**订阅计划**](https://github.com/sponsors/carlospolop)!
|
||||
* 如果您想看到您的 **公司在 HackTricks 中做广告** 或 **下载 PDF 版本的 HackTricks**，请查看 [**订阅计划**](https://github.com/sponsors/carlospolop)!
|
||||
* 获取 [**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* 探索 [**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们的独家 [**NFTs**](https://opensea.io/collection/the-peass-family)
|
||||
* **加入** 💬 [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**电报群组**](https://t.me/peass) 或在 **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live) 上 **关注** 我们。
|
||||
* **加入** 💬 [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**电报群组**](https://t.me/peass) 或 **关注** 我们的 **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* 通过向 [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github 仓库提交 PR 来分享您的黑客技巧。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
Loading…
Reference in a new issue