Express Prototype Pollution Gadgets
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Kwa maelezo zaidi angalia utafiti wa asili
Katika programu ya Express inayotumia aina ya maudhui ya JSON na kuakisi JSON:
Katika hizi kesi, XSS kawaida haiwezekani na aina ya maudhui ya JSON. Hata hivyo, kwa uchafuzi wa prototype tunaweza kuchanganya Express kutoa jibu la HTML. Uthibitisho huu unategemea programu kutumia res.send(obj) na kutumia parser ya mwili na aina ya maudhui ya application/json.
Kwa kuchafua mali za body na _body, inawezekana kusababisha Express kutoa aina ya maudhui ya HTML na kuonyesha mali ya _body, na kusababisha XSS iliyohifadhiwa.
Inawezekana kufanya express ionyeshe maudhui ya UTF-7 kwa:
Ifuatayo PP itafanya sifa ndani ya JSON kuwa na nafasi ya ziada ambayo haitavunja utendaji:
Kisha JSON iliyoakisi itaonekana kama:
Gadget ya PP ifuatayo itafanya seva itume tena kichwa cha HTTP: Access-Control-Expose_headers: foo
Inahitaji moduli ya CORS kufungwa
Kwa payload ifuatayo, inawezekana kuficha njia kutoka kwa jibu la OPTIONS:
Inawezekana kubadilisha kodi ya hali iliyorudishwa kwa kutumia mzigo wa PP ufuatao:
Wakati unateua kwa prototype kwa kutumia primitive kama string, inazalisha operesheni isiyo na maana kwani prototype inapaswa kuwa kitu. Ikiwa unajaribu kupeana kitu cha prototype kwa Object.prototype yenyewe, hii itasababisha kutoa hitilafu. Tunaweza kutumia tabia hizi mbili ili kubaini ikiwa uchafuzi wa prototype umefanikiwa:
Wakati programu inajumuisha kitu katika jibu lake, kuunda sifa yenye jina lisilo la kawaida pamoja na __proto__ kunaweza kuwa na maana. Kwa hakika, ikiwa sifa hiyo pekee isiyo ya kawaida inarudishwa katika jibu, hii inaweza kuashiria udhaifu wa programu:
Zaidi ya hayo, katika hali ambapo maktaba kama Lodash inatumika, kuweka mali kupitia uchafuzi wa prototype (PP) na moja kwa moja ndani ya kitu kunatoa njia nyingine ya uchunguzi. Ikiwa mali kama hiyo imeachwa kwenye jibu, inamaanisha kwamba Lodash inathibitisha uwepo wa mali hiyo katika kitu cha lengo kabla ya kuunganisha:
Kuna chaguo katika Express kinachokuruhusu kuunda vitu kutoka kwa vigezo vya mfuatano wa swali. Unaweza hakika kukitumia katika mnyororo wa hitilafu ili kutumia udhaifu wa uchafuzi wa prototype.
?foo.bar=baz inaunda kitu katika Node.
Jifunze & fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Jifunze & fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
