Client-side prototype pollution zaifliklari

Ushbu bo'limda client-side prototype pollution zaifliklarini real hayotda qanday topishni o'rganamiz — buni ham qo'lda, ham DOM Invader yordamida avtomatlashtirilgan holda ko'rib chiqamiz. Client-side prototype pollution odatda DOM XSS'ga olib keladi.

Manbalarni qo'lda topish

Manbalarni qo'lda topish asosan sinov va xato jarayoni. Qisqasi, ishlaydigan manbani topmaguningizcha Object.prototype ga ixtiyoriy xususiyat qo'shishning turli usullarini sinab ko'rish kerak:

• Query string, URL fragment va JSON kirishi orqali ixtiyoriy xususiyat kiritishga urinib ko'ring: vulnerable-website.com/?__proto__[foo]=bar
• Brauzer konsolida Object.prototype.foo ni tekshiring — "bar" muvaffaqiyat, undefined esa muvaffaqiyatsizlikni bildiradi.
• Ishlamasa, boshqa yozuvni sinang — bracket o'rniga nuqta yozuvi: vulnerable-website.com/?__proto__.foo=bar

Gadjetlarni qo'lda topish

Manba topilgach, ekspluatatsiya uchun mos gadjet topish kerak. Buni qo'lda qilish uchun tekshirmoqchi bo'lgan xususiyatga getter o'rnatib, unga murojaat qilinganda stack trace chiqarasiz:

Object.defineProperty(Object.prototype, 'YOUR-PROPERTY', {
    get() {
        console.trace();
        return 'polluted';
    }
})

Agar skript bajarilishida stack trace paydo bo'lsa, bu xususiyat ilovada biror joyda o'qilganini tasdiqlaydi. So'ng debugger orqali bosqichma-bosqich yurib, u innerHTML yoki eval() kabi sink'ga uzatilishini tekshiring.

Lab

amaliyotchiClient-side prototype pollution orqali DOM XSS

Bajarilmagan

Lab

amaliyotchiMuqobil prototype pollution vektori orqali DOM XSS

Bajarilmagan

constructor orqali prototype pollution

Hozircha faqat __proto__ aksessori orqali prototipga havola oldik. Keng tarqalgan himoya — merge'dan oldin __proto__ kalitlarini olib tashlash. Lekin bu nuqsonli, chunki prototipga __proto__ satrisiz ham murojaat qilish mumkin. Har bir obyekt constructor xususiyatiga ega, u orqali prototipga yetish mumkin:

myObject.constructor.prototype   // Object.prototype ga teng (== myObject.__proto__)

Nuqsonli kalit tozalashni chetlab o'tish

Saytlar ko'pincha kalitlarni merge'dan oldin tozalaydi, lekin keng tarqalgan xato — kirishni rekursiv tozalamaslik. Masalan, sanitizatsiya __proto__ satrini faqat bir marta olib tashlasa:

vulnerable-website.com/?__pro__proto__to__.gadget=payload

bir marta tozalashdan keyin quyidagi yaroqli manbaga aylanadi:

vulnerable-website.com/?__proto__.gadget=payload

Lab

amaliyotchiNuqsonli sanitizatsiya orqali client-side prototype pollution

Bajarilmagan

Tashqi kutubxonalardagi prototype pollution

Gadjetlar ko'pincha ilova import qiladigan uchinchi tomon kutubxonalarida uchraydi. Bu holatda DOM Invader'ning prototype pollution imkoniyatlaridan foydalanish ancha tezroq va ishonchliroq.

Lab

amaliyotchiUchinchi tomon kutubxonalaridagi client-side prototype pollution

Bajarilmagan

Brauzer API'lari orqali prototype pollution

PortSwigger Research brauzerlarda beriladigan JavaScript API'larida bir qancha keng tarqalgan prototype pollution gadjetlarini aniqladi. Ular zaif prototype pollution himoyalarini chetlab o'tib DOM XSS'ga olib kelishi mumkin.

Lab

amaliyotchiBrauzer API'lari orqali client-side prototype pollution

Bajarilmagan