Express Prototype Pollution Gadgets
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Kwa maelezo zaidi angalia utafiti wa asili
Katika programu ya Express inayotumia aina ya maudhui ya majibu ya JSON na kuakisi JSON:
Katika hizi kesi, XSS kawaida haiwezekani na aina ya maudhui ya JSON. Hata hivyo, kwa uchafuzi wa prototype tunaweza kuchanganya Express kutoa jibu la HTML. Uthibitisho huu unategemea programu kutumia res.send(obj) na kutumia parser ya mwili na aina ya maudhui ya application/json.
Kwa kuchafua mali za body na _body, inawezekana kusababisha Express kutoa aina ya maudhui ya HTML na kuonyesha mali ya _body, na kusababisha XSS iliyohifadhiwa.
Inawezekana kufanya express ionyeshe maudhui ya UTF-7 kwa:
Ifuatayo PP itafanya sifa ndani ya JSON kuwa na nafasi ya ziada ambayo haitavunja utendaji:
Kisha JSON iliyoakisi itakuwa kama ifuatavyo:
Gadget ya PP ifuatayo itafanya seva itume tena kichwa cha HTTP: Access-Control-Expose_headers: foo
Inahitaji moduli ya CORS kufungwa
Kwa kutumia mzigo ufuatao, inawezekana kuficha njia kutoka kwa jibu la OPTIONS:
Inawezekana kubadilisha kodi ya hali iliyorudishwa kwa kutumia mzigo wa PP ufuatao:
Unapoweka kwenye prototype kwa kutumia primitive kama string, inazalisha operesheni isiyo na maana kwani prototype inapaswa kuwa kitu. Ikiwa unajaribu kuweka kitu cha prototype kwenye Object.prototype yenyewe, hii it tupa hitilafu. Tunaweza kutumia tabia hizi mbili ili kubaini ikiwa uchafuzi wa prototype umefanikiwa:
Wakati programu inajumuisha kitu katika jibu lake, kuunda sifa yenye jina lisilo la kawaida pamoja na __proto__ kunaweza kuwa na maana. Haswa, ikiwa sifa hiyo pekee isiyo ya kawaida inarudishwa katika jibu, hii inaweza kuashiria udhaifu wa programu:
Zaidi ya hayo, katika hali ambapo maktaba kama Lodash inatumika, kuweka mali kupitia uchafuzi wa prototype (PP) na moja kwa moja ndani ya kitu kunatoa njia nyingine ya uchunguzi. Ikiwa mali kama hiyo imeachwa kwenye jibu, inamaanisha kwamba Lodash inathibitisha uwepo wa mali hiyo katika kitu cha lengo kabla ya kuungana:
Kuna chaguo katika Express kinachokuruhusu kuunda vitu kutoka kwa vigezo vya mfuatano wa swali. Unaweza hakika kukitumia katika mnyororo wa hitilafu ili kutumia udhaifu wa uchafuzi wa prototype.
?foo.bar=baz inaunda kitu katika Node.
Jifunze na fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Jifunze na fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
