2. 程式人生 > 實用技巧 >Nodejs-原型鏈汙染

Nodejs-原型鏈汙染

阿新 • • 發佈：2020-07-14

原型鏈汙染

javascript 原型鏈

在javascript中，繼承的整個過程就稱為該類的原型鏈。

每個物件的都有一個指向他的原型(prototype)的內部連結，這個原型物件又有它自己的原型，一直到null為止。

在javascript中一切皆物件，因為所有的變數，函式，陣列，物件 都始於object的原型即object.prototype，但只有類有物件，物件沒有，物件有的是__proto__。

like:

日期時：

f -> Data.prototype -> object.prototype->null

函式時：

d -> function.prototype -> object.prototype->null

陣列時：

c -> array.prototype -> object.prototype->null

類時：

b -> a.prototype -> object.prototype->null

當要使用或輸出一個變數時：首先會在本層中搜索相應的變數，如果不存在的話，就會向上搜尋，即在自己的父類中搜索，當父類中也沒有時，就會向祖父類搜尋，直到指向null，如果此時還沒有搜尋到，就會返回 undefined。

原型鏈汙染就是：在我們想要利用的程式碼之前的賦值語句如果可控的話，我們進行 ——__proto__ 賦值，之後就可以利用程式碼了。

原型鏈汙染一般會出現在物件、或陣列的鍵名或屬性名可控,而且是賦值語句的情況下。

例一：

var mds = [];

for  (var i=0;i<3;i++){
  mds[i]=[null,null,null];
}
Array(3) [ null, null, null ]  

var row="__proto__"
undefined

var co="admin"
undefined

mds[row][co]="sunsec"
"sunsec"

var c=[]
undefined

c[co]
"sunsec"

這裡我們建立了兩個陣列，一個是mds，另一個是c，此時我們將mds的mds.__proto__

上一條鏈的[co]為sunsec。

題一：
const express = require('express')         //關於require，require是一個函式
var hbs = require('hbs');
var bodyParser = require('body-parser');
const md5 = require('md5');
var morganBody = require('morgan-body');
const app = express();
var user = []; //empty for now

var matrix = [];
for (var i = 0; i < 3; i++){
    matrix[i] = [null , null, null];
}

function draw(mat) {
    var count = 0;
    for (var i = 0; i < 3; i++){
        for (var j = 0; j < 3; j++){
            if (matrix[i][j] !== null){
                count += 1;
            }
        }
    }
    return count === 9;
}

app.use(express.static('public'));
app.use(bodyParser.json());
app.set('view engine', 'html');
morganBody(app);
app.engine('html', require('hbs').__express);

app.get('/', (req, res) => {

    for (var i = 0; i < 3; i++){
        matrix[i] = [null , null, null];

    }
    res.render('index');
})


app.get('/admin', (req, res) => { 
    /*this is under development I guess ??*/
    console.log(user.admintoken);
    if(user.admintoken && req.query.querytoken && md5(user.admintoken) === req.query.querytoken){
        res.send('Hey admin your flag is <b>flag{prototype_pollution_is_very_dangerous}</b>');
    } 
    else {
        res.status(403).send('Forbidden');
    }    
}
)


app.post('/api', (req, res) => {
    var client = req.body;
    var winner = null;

    if (client.row > 3 || client.col > 3){
        client.row %= 3;
        client.col %= 3;
    }
    matrix[client.row][client.col] = client.data;
    for(var i = 0; i < 3; i++){
        if (matrix[i][0] === matrix[i][1] && matrix[i][1] === matrix[i][2] ){
            if (matrix[i][0] === 'X') {
                winner = 1;
            }
            else if(matrix[i][0] === 'O') {
                winner = 2;
            }
        }
        if (matrix[0][i] === matrix[1][i] && matrix[1][i] === matrix[2][i]){
            if (matrix[0][i] === 'X') {
                winner = 1;
            }
            else if(matrix[0][i] === 'O') {
                winner = 2;
            }
        }
    }

    if (matrix[0][0] === matrix[1][1] && matrix[1][1] === matrix[2][2] && matrix[0][0] === 'X'){
        winner = 1;
    }
    if (matrix[0][0] === matrix[1][1] && matrix[1][1] === matrix[2][2] && matrix[0][0] === 'O'){
        winner = 2;
    } 

    if (matrix[0][2] === matrix[1][1] && matrix[1][1] === matrix[2][0] && matrix[2][0] === 'X'){
        winner = 1;
    }
    if (matrix[0][2] === matrix[1][1] && matrix[1][1] === matrix[2][0] && matrix[2][0] === 'O'){
        winner = 2;
    }

    if (draw(matrix) && winner === null){
        res.send(JSON.stringify({winner: 0}))
    }
    else if (winner !== null) {
        res.send(JSON.stringify({winner: winner}))
    }
    else {
        res.send(JSON.stringify({winner: -1}))
    }

})
app.listen(3000, () => {
    console.log('app listening on port 3000!')
})

對於這道題我們獲取flag的條件就是user.admintoken && req.query.querytoken && md5(user.admintoken) === req.query.querytoken，但是我們無法掌控到admintoken。

但是在api這個介面的地方，是可以接收data，row，col所以此時我們可以進行原型鏈汙染，在這裡user.admintoken並沒有被賦值，我們可以進行汙染，只要將

matrix[client.row][client.col] = client.data

client.row設定為__proto__即可，再將col設為admintoken，此時data就是我們設定的值了。

此時在admin路由處傳入querytoken。

題二
'use strict';

const express = require('express');
const bodyParser = require('body-parser')
const cookieParser = require('cookie-parser');
const path = require('path');


const isObject = obj => obj && obj.constructor && obj.constructor === Object;

function merge(a, b) {
    for (var attr in b) {
        if (isObject(a[attr]) && isObject(b[attr])) {
            merge(a[attr], b[attr]);
        } else {
            a[attr] = b[attr];
        }
    }
    return a
}

function clone(a) {
    return merge({}, a);
}

// Constants
const PORT = 8080;
const HOST = '0.0.0.0';
const admin = {};

// App
const app = express();
app.use(bodyParser.json())
app.use(cookieParser());

app.use('/', express.static(path.join(__dirname, 'views')));
app.post('/signup', (req, res) => {
    var body = JSON.parse(JSON.stringify(req.body));
    var copybody = clone(body)
    if (copybody.name) {
        res.cookie('name', copybody.name).json({
            "done": "cookie set"
        });
    } else {
        res.json({
            "error": "cookie not set"
        })
    }
});
app.get('/getFlag', (req, res) => {
    var аdmin = JSON.parse(JSON.stringify(req.cookies))
    if (admin.аdmin == 1) {
        res.send("hackim19{}");
    } else {
        res.send("You are not authorized");
    }
});
app.listen(PORT, HOST);
console.log(`Running on http://${HOST}:${PORT}`);

flag獲取條件： admin.аdmin == 1)

看到這處路由可以發現admin的admin屬性是不存在的。

看到函式merge：

function merge(a, b) {
    for (var attr in b) {
        if (isObject(a[attr]) && isObject(b[attr])) {
            merge(a[attr], b[attr]);
        } else {
            a[attr] = b[attr];
        }
    }
    return a
}

這裡進行了物件的合併，但是鍵值是可以被控制的。

注意：在建立字典的時候，__proto__,不是作為一個鍵名，而是已經作為__proto__給其父類進行賦值

所以當我們設定：
var test = {"test":"aa","__proto__":{"admin":1}}

此時：test有兩個鍵值，分別為test以及admin。

那麼我們再將其跟另一個test1進行物件的合併，此時看一下test1，會發現他不具備admin屬性。

如何避免：

利用JSON.parse，JSON.parse 會把一個json字串 轉化為 javascript的object。

相關推薦

Nodejs-原型鏈汙染

原型鏈汙染 javascript 原型鏈 在javascript中，繼承的整個過程就稱為該類的原型鏈。

【web安全】Nodejs原型鏈汙染分析

Nodejs原型鏈汙染分析 什麼是js原型? 可以將js原型理解為其他OOP語言中的類，但還是有細微區別。

Kibana 原型鏈汙染導致任意程式碼執行漏洞 (CVE-2019-7609)

Kibana 為 Elassticsearch 設計的一款開源的檢視工具。其5.6.15和6.6.1之前的版本中存在一處原型鏈汙染漏洞，利用這個漏洞我們可以在目標伺服器上執行任意JavaScript程式碼。

JavaScript原型鏈及其汙染

JavaScript原型鏈及其汙染 一.什麼是原型鏈？ 1.JavaScript中，我們如果要define一個類，需要以define“建構函式”的方式來define：

JavaScript物件原型鏈原理解析

這篇文章主要介紹了JavaScript物件原型鏈原理解析,文中通過示例程式碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值,需要的朋友可以參考下

JavaScript原型繼承和原型鏈原理詳解

這篇文章主要介紹了JavaScript原型繼承和原型鏈原理詳解,文中通過示例程式碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值,需要的朋友可以參考下

JavaScript物件原型鏈原理詳解

這篇文章主要介紹了JavaScript物件原型鏈原理詳解,文中通過示例程式碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值,需要的朋友可以參考下

JS原型和原型鏈原理與用法例項詳解

本文例項講述了JS原型和原型鏈原理與用法。分享給大家供大家參考，具體如下：

javascript 原型與原型鏈的理解及應用例項分析

本文例項講述了javascript 原型與原型鏈的理解及應用。分享給大家供大家參考，具體如下：

JavaScript進階（四）原型與原型鏈用法例項分析

本文例項講述了JavaScript原型與原型鏈用法。分享給大家供大家參考，具體如下：

JS原形與原型鏈深入詳解

本文例項講述了JS原形與原型鏈。分享給大家供大家參考，具體如下： 前言 在JS中，我們經常會遇到原型。字面上的意思會讓我們認為，是某個物件的原型，可用來繼承。但是其實這樣的理解是片面的，下面通過本文來了解原

Javascript原型鏈及instanceof原理詳解

instanceof:用來判斷例項是否是屬於某個物件，這個判斷依據是什麼呢？ 首先，瞭解一下javascript中的原型繼承的基礎知識：

486 原型及原型鏈模式：3個重要知識點，3個重要知識點，從面向物件角度來講解內建類，hasOwnProperty，原型鏈方法中的THIS問題，基於內建類的原型擴充套件方法

3個重要知識點 【建構函式是函式型別，例項物件是物件。】 每一個函式資料型別的值，都有一個天生自帶的屬性：prototype（原型），這個屬性的屬性值是一個物件（“用來儲存例項公用屬性和方法”）

別在問我什麼是原型鏈

前言 記得初學JavaScript時,我一直對這門語言感到疑惑. 眾所周知,面向物件有三大特性封裝、繼承和多型. 就從我當時的理解來講,我認為JavaScript是沒有繼承的,因為它沒有\"類\"（class）和\"例項\"（instance）的區分

原型鏈

<!-- 理解原型 --> <script> function Person(name){ this.name=name } Person.prototype.age=10

繼承的實現方式之 原型鏈

原型鏈實現繼承 基本模式 function SuperType(){ this.property = true; } SuperType.prototype.getSuperValue = function(){

理解js中的原型，原型物件，原型鏈

目錄 理解原型 理解原型物件 例項屬性與原型屬性的關係 更簡單的原型語法 原型的動態性

詳解js中的原型，原型物件，原型鏈

理解原型 我們建立的每一個函式都有一個prototype(原型)屬性，這個屬性是一個指標，指向一個物件，而這個物件的用途是包含可以由特定型別的所有例項共享的屬性和方法。看如下例子：

JS 原型與原型鏈終極詳解（二）

四. __proto__ JS 在建立物件（不論是普通物件還是函式物件）的時候，都有一個叫做__proto__ 的內建屬性，用於指向建立它的建構函式的原型物件。

原型鏈和繼承

1. 建構函式與例項物件 首先我做了如下測試 var A = function(a){ this.a = a; var b = \'b\';