From 9477c999f9485c5c24bd2383c7972b2ffa40130c Mon Sep 17 00:00:00 2001 From: Translator Date: Sun, 17 Mar 2024 20:40:35 +0000 Subject: [PATCH] Translated ['pentesting-web/deserialization/nodejs-proto-prototype-pollu --- .../README.md | 88 ++++++++++--------- 1 file changed, 46 insertions(+), 42 deletions(-) diff --git a/pentesting-web/deserialization/nodejs-proto-prototype-pollution/README.md b/pentesting-web/deserialization/nodejs-proto-prototype-pollution/README.md index a1352d08b..ccfcf3ef3 100644 --- a/pentesting-web/deserialization/nodejs-proto-prototype-pollution/README.md +++ b/pentesting-web/deserialization/nodejs-proto-prototype-pollution/README.md @@ -2,19 +2,19 @@
-从零开始学习AWS黑客技术，成为专家 htARTE（HackTricks AWS红队专家）！ +从零开始学习AWS黑客技术，成为专家 htARTE（HackTricks AWS Red Team Expert）！ -支持HackTricks的其他方式： +其他支持HackTricks的方式： * 如果您想看到您的**公司在HackTricks中做广告**或**下载PDF格式的HackTricks**，请查看[**订阅计划**](https://github.com/sponsors/carlospolop)! * 获取[**官方PEASS & HackTricks周边产品**](https://peass.creator-spring.com) -* 探索[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品 -* **加入** 💬 [**Discord群**](https://discord.gg/hRep4RUj7f) 或 [**电报群**](https://t.me/peass) 或在**Twitter**上关注我们 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**。** +* 探索[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family) +* **加入** 💬 [**Discord群**](https://discord.gg/hRep4RUj7f) 或 [**电报群**](https://t.me/peass) 或 **关注**我们的**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**。** * 通过向[**HackTricks**](https://github.com/carlospolop/hacktricks)和[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github仓库提交PR来分享您的黑客技巧。
-## JavaScript中的对象 +## JavaScript中的对象 JavaScript中的对象本质上是键值对的集合，称为属性。可以使用`Object.create`方法并将`null`作为参数来创建一个空对象。这种方法允许创建一个没有任何继承属性的对象。 ```javascript @@ -45,19 +45,19 @@ employee1.__proto__ JavaScript允许在运行时修改、添加或删除原型属性。这种灵活性使得可以动态扩展类的功能。 -像`toString`和`valueOf`这样的函数可以被修改以改变它们的行为，展示了JavaScript原型系统的适应性。 +像`toString`和`valueOf`这样的函数可以被改变以改变它们的行为，展示了JavaScript原型系统的适应性。 ## 继承 -在基于原型的编程中，属性/方法是从类继承到对象的。这些类是通过将属性/方法添加到另一个类的实例或空对象中创建的。 +在基于原型的编程中，属性/方法是从类中继承给对象的。这些类是通过将属性/方法添加到另一个类的实例或空对象中创建的。 -值得注意的是，当将属性添加到充当其他对象原型（如`myPersonObj`）的对象时，继承对象就可以访问这个新属性。但是，除非显式调用，否则不会自动显示此属性。 +值得注意的是，当将属性添加到充当其他对象原型的对象（如`myPersonObj`）时，继承对象将获得对这个新属性的访问权限。然而，除非显式调用，否则不会自动显示此属性。 -## \_\_proto\_\_污染 +## \_\_proto\_\_污染 ## 探索JavaScript中的原型污染 -JavaScript对象由键值对定义，并从JavaScript对象原型继承。这意味着修改Object原型可能会影响环境中的所有对象。 +JavaScript对象由键值对定义，并继承自JavaScript对象原型。这意味着修改Object原型可能会影响环境中的所有对象。 让我们使用一个不同的示例来说明： ```javascript @@ -66,7 +66,7 @@ this.model = model; } var car1 = new Vehicle("Tesla Model S"); ``` -可以通过以下方式访问Object原型： +可以通过以下方式访问对象原型： ```javascript car1.__proto__.__proto__; Vehicle.__proto__.__proto__; @@ -102,7 +102,7 @@ console.log(car1.hasWheels); // Outputs true car1.constructor.prototype.honk = function() { console.log("Honk!"); }; car1.constructor.prototype.isElectric = true; ``` -这仅影响从`Vehicle`构造函数创建的对象，赋予它们`beep`、`hasWheels`、`honk`和`isElectric`属性。 +这仅影响从`Vehicle`构造函数创建的对象，为它们提供`beep`、`hasWheels`、`honk`和`isElectric`属性。 全局影响JavaScript对象的两种方法包括： @@ -119,7 +119,7 @@ example.constructor.prototype.greet = function() { console.log("Hello!"); }; ### 从类到Object.prototype -在一个场景中，你可以**污染特定对象**并且需要**访问`Object.prototype`**，你可以使用类似以下代码进行搜索： +在一个场景中，您可以**污染特定对象**并且需要**访问`Object.prototype`**，您可以使用类似以下代码进行搜索： ```javascript // From https://blog.huli.tw/2022/05/02/en/intigriti-revenge-challenge-author-writeup/ @@ -142,7 +142,7 @@ console.log(key1 + "." + key2) ``` ### 数组元素污染 -请注意，正如您可以污染JS中对象的属性一样，如果您可以污染一个数组，您也可以**污染数组的值**，这些值可以通过**索引**访问（请注意，您无法覆盖值，因此您需要污染某种方式使用但未写入的索引）。 +请注意，正如您可以污染JS对象的属性一样，如果您可以访问污染一个数组，您也可以**污染数组的值**，这些值可以通过**索引**访问（请注意，您无法覆盖值，因此您需要污染某种方式使用但未写入的索引）。 ```javascript c = [1,2] a = [] @@ -154,7 +154,7 @@ c[1] // 2 -- not ``` ### Html元素污染 -在通过JS生成HTML元素时，可以**覆盖** **`innerHTML`** 属性，使其编写**任意HTML代码。** [灵感和示例来自此文](https://blog.huli.tw/2022/04/25/en/intigriti-0422-xss-challenge-author-writeup/). +在通过JS生成HTML元素时，可以**覆盖** **`innerHTML`** 属性，使其编写**任意HTML代码。** [Idea and example from this writeup](https://blog.huli.tw/2022/04/25/en/intigriti-0422-xss-challenge-author-writeup/). {% code overflow="wrap" %} ```javascript @@ -173,13 +173,13 @@ settings[root][ownerDocument][body][innerHTML]="{alert("polluted")} ``` @@ -209,43 +211,45 @@ customer.__proto__.toString = ()=>{alert("polluted")} ### CVE-2019–11358: 通过jQuery $ .extend进行原型污染攻击 -[有关更多详细信息，请查看此文章](https://itnext.io/prototype-pollution-attack-on-nodejs-applications-94a8582373e7) -在jQuery中，如果深度复制功能被错误使用，`$ .extend`函数可能导致原型污染。该函数通常用于克隆对象或从默认对象合并属性。但是，当配置错误时，本应分配给新对象的属性可能被分配给原型。例如： +[有关更多详细信息，请查阅此文章](https://itnext.io/prototype-pollution-attack-on-nodejs-applications-94a8582373e7) 在jQuery中，如果深度复制功能被错误使用，`$ .extend`函数可能导致原型污染。该函数通常用于克隆对象或从默认对象合并属性。然而，当配置错误时，本应分配给新对象的属性可能被分配给原型。例如： ```javascript $.extend(true, {}, JSON.parse('{"__proto__": {"devMode": true}}')); console.log({}.devMode); // Outputs: true ``` -### CVE-2019–11358漏洞说明 +这个漏洞，被标识为CVE-2019-11358，说明了深拷贝可能会无意中修改原型，导致潜在的安全风险，比如如果未经适当存在性验证就检查诸如`isAdmin`之类的属性，可能导致未经授权的管理员访问。 -这个漏洞，被标识为CVE-2019–11358，展示了如何深度复制可能无意中修改原型，导致潜在的安全风险，比如如果未经适当存在性验证就检查`isAdmin`等属性，可能导致未经授权的管理员访问。 +### CVE-2018-3721，CVE-2019-10744：通过lodash进行原型污染攻击 -### CVE-2018–3721，CVE-2019–10744：通过lodash进行原型污染攻击 +[有关更多详细信息，请查看此文章](https://itnext.io/prototype-pollution-attack-on-nodejs-applications-94a8582373e7) -[更多详情请查看这篇文章](https://itnext.io/prototype-pollution-attack-on-nodejs-applications-94a8582373e7) +[Lodash](https://www.npmjs.com/package/lodash) 遇到了类似的原型污染漏洞（CVE-2018-3721，CVE-2019-10744）。这些问题已在版本4.17.11中得到解决。 -[Lodash](https://www.npmjs.com/package/lodash) 遇到了类似的原型污染漏洞（CVE-2018–3721，CVE-2019–10744）。这些问题已在版本4.17.11中得到解决。 - -### 其他带有CVE的教程 +### 具有CVE的另一个教程 {% embed url="https://infosecwriteups.com/javascript-prototype-pollution-practice-of-finding-and-exploitation-f97284333b2" %} +### 用于检测原型污染的工具 + +* [**Server-Side-Prototype-Pollution-Gadgets-Scanner**](https://github.com/doyensec/Server-Side-Prototype-Pollution-Gadgets-Scanner)：Burp Suite扩展程序，旨在检测和分析Web应用程序中的服务器端原型污染漏洞。该工具自动化扫描请求的过程，以识别潜在的原型污染问题。它利用已知的小工具 - 利用原型污染执行有害操作的方法 - 特别关注Node.js库。 +* [**server-side-prototype-pollution**](https://github.com/portswigger/server-side-prototype-pollution)：此扩展程序识别服务器端原型污染漏洞。它使用[服务器端原型污染](https://portswigger.net/research/server-side-prototype-pollution)中描述的技术。 + ### NodeJS中的AST原型污染 -NodeJS在JavaScript中广泛使用抽象语法树（AST）来实现功能，比如模板引擎和TypeScript。本节探讨了与模板引擎中原型污染相关的漏洞，特别是Handlebars和Pug。 +NodeJS在JavaScript中广泛使用抽象语法树（AST）来实现诸如模板引擎和TypeScript等功能。本节探讨了与模板引擎中原型污染相关的漏洞，特别是Handlebars和Pug。 #### Handlebars漏洞分析 -Handlebars模板引擎容易受到原型污染攻击。这个漏洞源自`javascript-compiler.js`文件中的特定函数。例如，`appendContent`函数在存在`pendingContent`时连接它，而`pushSource`函数在添加源后将`pendingContent`重置为`undefined`。 +Handlebars模板引擎容易受到原型污染攻击。此漏洞源自`javascript-compiler.js`文件中的特定函数。例如，`appendContent`函数会在存在`pendingContent`时连接它，而`pushSource`函数在添加源代码后将`pendingContent`重置为`undefined`。 -##### 攻击过程 +**利用过程** -利用Handlebars生成的AST（抽象语法树）进行攻击，遵循以下步骤： +利用AST（抽象语法树）生成的Handlebars，遵循以下步骤： -1. **解析器的操纵**：首先，解析器通过`NumberLiteral`节点强制值为数字。原型污染可以绕过这一限制，允许插入非数字字符串。 -2. **编译器的处理**：编译器可以处理AST对象或字符串模板。如果`input.type`等于`Program`，则将输入视为预解析的，可以被利用。 +1. **解析器的操纵**：首先，解析器通过`NumberLiteral`节点强制值为数字。原型污染可以绕过这一点，使非数字字符串插入。 +2. **编译器的处理**：编译器可以处理AST对象或字符串模板。如果`input.type`等于`Program`，则将输入视为预解析，可以被利用。 3. **代码注入**：通过操纵`Object.prototype`，可以将任意代码注入模板函数，可能导致远程代码执行。 -一个演示利用Handlebars漏洞的示例： +演示利用Handlebars漏洞的示例： ```javascript const Handlebars = require('handlebars'); @@ -302,7 +306,7 @@ requests.get(TARGET_URL) ``` #### Pug漏洞 -Pug，另一个模板引擎，面临原型污染的类似风险。有关更详细信息，请参阅[Pug中的AST注入讨论](https://blog.p6.is/AST-Injection/#Pug)。 +Pug，另一个模板引擎，面临着原型污染的类似风险。有关更详细的信息，请参阅[Pug中的AST注入讨论](https://blog.p6.is/AST-Injection/#Pug)。 Pug中原型污染的示例： ```python @@ -327,12 +331,12 @@ requests.get(TARGET_URL) 1. **对象不可变性**：可以通过应用 `Object.freeze` 来使 `Object.prototype` 不可变。 2. **输入验证**：JSON 输入应该严格根据应用程序的模式进行验证。 -3. **安全合并函数**：应避免不安全地使用递归合并函数。 +3. **安全合并函数**：应避免不安全使用递归合并函数。 4. **无原型对象**：可以使用 `Object.create(null)` 创建没有原型属性的对象。 5. **使用 Map**：应该使用 `Map` 而不是 `Object` 来存储键值对。 6. **库更新**：可以通过定期更新库来整合安全补丁。 7. **代码检查工具**：使用诸如 ESLint 等适当插件的工具来检测和防止原型污染漏洞。 -8. **代码审查**：实施彻底的代码审查，以识别和消除与原型污染相关的潜在风险。 +8. **代码审查**：实施彻底的代码审查，以识别和修复与原型污染相关的潜在风险。 9. **安全培训**：教育开发人员有关原型污染的风险以及编写安全代码的最佳实践。 10. **谨慎使用库**：在使用第三方库时要谨慎。评估它们的安全状况并审查它们的代码，特别是那些操作对象的代码。 11. **运行时保护**：采用运行时保护机制，例如使用专注于安全的 npm 包，可以检测和防止原型污染攻击。 @@ -350,10 +354,10 @@ requests.get(TARGET_URL) 支持 HackTricks 的其他方式： -* 如果您想在 HackTricks 中看到您的 **公司广告** 或 **下载 PDF 版本的 HackTricks**，请查看 [**订阅计划**](https://github.com/sponsors/carlospolop)! +* 如果您想看到您的 **公司在 HackTricks 中做广告** 或 **下载 PDF 版本的 HackTricks**，请查看 [**订阅计划**](https://github.com/sponsors/carlospolop)! * 获取 [**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com) * 探索 [**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们的独家 [**NFTs**](https://opensea.io/collection/the-peass-family) -* **加入** 💬 [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**电报群组**](https://t.me/peass) 或在 **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live) 上 **关注** 我们。 +* **加入** 💬 [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**电报群组**](https://t.me/peass) 或 **关注** 我们的 **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**。** * 通过向 [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github 仓库提交 PR 来分享您的黑客技巧。