Code-Breaking 2018 Thejs（代码审计）

这篇我自己学习nodejs的博客是我为什么复现这道题的原因
http://blog.m1kael.cn/index.php/archives/27/

由于没找到环境，我这里只是为了学习这个知识点，所以找源码来分析一下
源码：https://github.com/phith0n/code-breaking/tree/master/2018/thejs

const fs = require('fs')
const express = require('express')
const bodyParser = require('body-parser')
const lodash = require('lodash')
const session = require('express-session')
const randomize = require('randomatic')

const app = express()
app.use(bodyParser.urlencoded({extended: true})).use(bodyParser.json())
app.use('/static', express.static('static'))
app.use(session({
    name: 'thejs.session',
    secret: randomize('aA0', 16),
    resave: false,
    saveUninitialized: false
}))
app.engine('ejs', function (filePath, options, callback) { // define the template engine
    fs.readFile(filePath, (err, content) => {
        if (err) return callback(new Error(err))
        let compiled = lodash.template(content)
        let rendered = compiled({...options})

        return callback(null, rendered)
    })
})
app.set('views', './views')
app.set('view engine', 'ejs')

app.all('/', (req, res) => {
    let data = req.session.data || {language: [], category: []}
    if (req.method == 'POST') {
        data = lodash.merge(data, req.body)
        req.session.data = data
    }
    
    res.render('index', {
        language: data.language, 
        category: data.category
    })
})

app.listen(3000, () => console.log(`Example app listening on port 3000!`))

重要代码在这两块地方

 if (err) return callback(new Error(err))
        let compiled = lodash.template(content)
        let rendered = compiled({...options}

)

if (req.method == 'POST') {
        data = lodash.merge(data, req.body)
        req.session.data = data
    }

问题出在了lodashs.merge函数这里，这个函数存在原型链污染漏洞，会直接将注入原型的属性的值写去最底层的object。我们需要找到可以利用的点。因为通过漏洞可以控制某一种实例对象原型的属性，所以我们需要去寻找一个可以被利用的属性。
我们来看看这个函数
https://github.com/lodash/lodash/blob/a039483886093788e7021131a9cba6ffc53f45ec/lodash.template/index.js
在这里插入图片描述

发现这里能进行污利用
可以看到options是一个对象，sourceURL是通过赋值的，options默认没有sourceURL属性，所以sourceURL默认也是为空。如果我们能够给options的原型对象加一个sourceURL属性，那么我们就可以控制sourceURL的值。

这个地方我们通过构造chile_process.exec()就可以执行任意代码了。
但是由于Function 环境下没有 require 函数，直接使用require(‘child_process’) 会报错，所以我们要用 global.process.mainModule.constructor._load 来代替。
还有p神的做法，用循环来绕过

{"__proto__" : {"sourceURL" : "\r\nreturn e = () => {for (var a in {}){delete Object.prototype[a];}return global.require('child_process').execSync('whoami').to

由于懒得搭环境，所以借一下大佬的图更加直观一点
注意下content-type要改成application/json

有的师傅是数据外带的：https://paper.seebug.org/755/#js
有时间我自己搭环境试试
希望这篇文章能帮助你！
参考链接