搜索

[16925] 2021-06-19_JavaScript原型链污染原理及相关CVE漏洞剖析

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2021-06-19_JavaScript原型链污染原理及相关CVE漏洞剖析 J a v a S c r i p t 原 型 链 污 染 原 理 及 相 关 C V E 漏 洞 剖 析 中 兴 沉 烽 实 验 室   F r e e B u f   2 0 2 1 - 0 6 - 1 9 0 x 0 0   背 景 背 景 2 0 1 9 年 初 ， S n y k 的 安 全 研 究 人 员 披 露 了 流 行 的 J a v a S c r i p t 库 L o d a s h 中 一 个 严 重 漏 洞 的 详 细 信 息 ， 该 漏 洞 使 黑 客 能 够 攻 击 多 个 W e b 应 用 程 序 ， 这 个 安 全 漏 洞 就 是 一 个 “ 原 型 污 染 漏 洞 ” （ J a v a S c r i p t   P r o t o t y p e   P o l l u t i o n ） ， 攻 击 者 可 以 利 用 该 漏 洞 利 用 J a v a S c r i p t 编 程 语 言 的 规 则 并 以 各 种 方 式 破 坏 应 用 程 序 。 0 x 0 1   J a v a S c r i p t 原 型 原 型 J a v a S c r i p t   常 被 描 述 为 一 种 基 于 原 型 的 语 言   ( p r o t o t y p e - b a s e d   l a n g u a g e ) — — 每 个 对 象 拥 有 一 个 原 型 对 象 ， 对 象 以 其 原 型 为 模 板 、 从 原 型 继 承 方 法 和 属 性 。 原 型 对 象 也 可 能 拥 有 原 型 ， 并 从 中 继 承 方 法 和 属 性 ， 一 层 一 层 、 以 此 类 推 。 这 种 关 系 常 被 称 为 原 型 链 ( p r o t o t y p e   c h a i n ) 。 J a v a S c r i p t 中 ， 我 们 如 果 要 定 义 一 个 类 ， 需 要 以 定 义 “ 构 造 函 数 ” 的 方 式 来 定 义 。 每 个 函 数 都 有 一 个 特 殊 的 属 性 叫 作 原 型 （ p r o t o t y p e ） 。 例 如 ， 定 义 一 个 P e r s o n 类 ， 查 看 它 的 原 型 。 输 出 如 下 所 示 ， P e r s o n . p r o t o t y p e 的 c o n s t r u c t o r 属 性 是 P e r s o n 构 造 函 数 ， P e r s o n . p r o t o t y p e 的 属 性 是 O b j e c t . p r o t o t y p e 。 可 以 看 到 ， p e r s o n 是 一 个 P e r s o n 类 的 实 例 ， 有 四 个 属 性 ： n a m e 、 a g e 、 g e n d e r 、 p r o t o 。 其 中 ， 前 三 个 是 我 们 构 建 函 数 中 定 义 的 ， 第 4 个 属 性 p r o t o 就 是 P e r s o n . p r o t o t y p e 。 具 体 原 型 链 的 结 构 图 如 下 图 所 示 ： v a r   p e r s o n = n e w   P e r s o n ( ' l y c ' , 3 0 , ' m a l e ' ) ； c o n s o l e . l o g ( p e r s o n ) ; p r o t o
这 个 机 制 的 作 用 是 什 么 呢 ？ 当 我 们 访 问 p e r s o n 的 一 个 属 性 时 , 浏 览 器 首 先 查 找 p e r s o n 是 否 有 这 个 属 性 . 如 果 没 有 , 然 后 浏 览 器 就 会 在 p e r s o n 的 p r o t o 中 查 找 这 个 属 性 ( 也 就 是 P e r s o n . p r o t o t y p e ) 。 如 果 P e r s o n . p r o t o t y p e 有 这 个 属 性 ， 那 么 这 个 属 性 就 会 被 使 用 。 否 则 ， 如 果 P e r s o n . p r o t o t y p e 没 有 这 个 属 性 ， 浏 览 器 就 会 去 查 找 P e r s o n . p r o t o t y p e 的 p r o t o ， 看 它 是 否 有 这 个 属 性 ， 依 次 类 推 。 默 认 情 况 下 ， 所 有 类 的 原 型 属 性 的 p r o t o 都 是 O b j e c t . p r o t o t y p e 。 0 x 0 2   原 型 式 继 承 原 型 式 继 承 由 于 J a v a S c r i p t 没 有 类 似 J a v a 中 的 C l a s s 概 念 ， 继 承 都 是 由 原 型 链 来 实 现 的 。 实 现 继 承 的 方 法 很 多 ， 这 里 举 一 例 ： 创 建 一 个 构 造 函 数 T e a c h e r ， 其 中 调 用 P e r s o n . c a l l 运 行 P e r s o n 构 造 函 数 。 P e r s o n . c a l l 函 数 的 第 一 个 参 数 指 明 了 在 运 行 这 个 函 数 时 想 对 “ t h i s ” 指 定 的 值 ， 此 处 是 T e a c h e r 的 t h i s ， 即 P e r s o n 构 造 函 数 里 对 t h i s . n a m e 赋 值 ， 实 际 上 是 对 T e a c h e r 的 t h i s 赋 值 。 接 着 用 O b j e c t . c r e a t e ( ) 方 法 创 建 一 个 新 对 象 p r o t o ， 这 个 对 象 使 用 P e r s o n . p r o t o t y p e 来 作 为 它 的 p r o t o 。 然 后 将 T e a c h e r 和 p r o t o 相 互 “ 关 联 ” ， p r o t o 的 构 造 函 数 是 T e a c h e r ， T e a c h e r 的 原 型 是 p r o t o 。 这 样 就 实 现 了 T e a c h e r 对 P e r s o n 的 继 承 ， 此 时 T e a c h e r . p r o t o t y p e 如 下 图 所 示 ： f u n c t i o n   T e a c h e r ( n a m e , a g e , g e n d e r , s u b j e c t ) {         P e r s o n . c a l l ( t h i s , n a m e ) ;         P e r s o n . c a l l ( t h i s , a g e ) ;         P e r s o n . c a l l ( t h i s , g e n d e r ) ;         t h i s . s u b j e c t = s u b j e c t ; } T e a c h e r . p r o t o t y p e = n e w   P e r s o n ( ) ; c o n s o l e . l o g ( T e a c h e r . p r o t o t y p e ) ;
可 以 看 到 ， T e a c h e r . p r o t o t y p e 的 p r o t o 属 性 是 P e r s o n . p r o t o t y p e ， 原 型 链 也 就 多 了 “ 一 层 ” 。 0 x 0 3   原 型 链 污 染 原 型 链 污 染 在 J a v a S c r i p t 发 展 历 史 上 ， 很 少 有 真 正 的 私 有 属 性 ， 类 的 所 有 属 性 都 允 许 被 公 开 的 访 问 和 修 改 ， 包 括 p r o t o ， 构 造 函 数 和 原 型 。 攻 击 者 可 以 通 过 注 入 其 他 值 来 覆 盖 或 污 染 这 些 p r o t o ， 构 造 函 数 和 原 型 属 性 。 然 后 ， 所 有 继 承 了 被 污 染 原 型 的 对 象 都 会 受 到 影 响 。 原 型 链 污 染 通 常 会 导 致 拒 绝 服 务 、 篡 改 程 序 执 行 流 程 、 导 致 远 程 执 行 代 码 等 漏 洞 。 原 型 链 污 染 的 发 生 主 要 有 两 种 场 景 ： 不 安 全 的 对 象 递 归 合 并 和 按 路 径 定 义 属 性 。 0 x 0 4   不 安 全 的 对 象 递 归 合 并 不 安 全 的 对 象 递 归 合 并 以 不 安 全 的 对 象 递 归 合 并 操 作 为 例 ， 我 们 定 义 一 个 递 归 合 并 函 数 m e r g e ( ) 。 （ 该 函 数 来 自 “ h t t p s : / / g i s t . g i t h u b . c o m / a h t c x / 0 c d 9 4 e 6 2 6 9 1 f 5 3 9 1 6 0 b 3 2 e c d a 1 8 a f 3 d 6 # f i l e - d e e p - m e r g e - j s ” ） c o n s t   m e r g e   =   ( t a r g e t ,   s o u r c e )   = >   {     / /   I t e r a t e   t h r o u g h   ` s o u r c e `   p r o p e r t i e s   a n d   i f   a n   ` O b j e c t `   s e t   p r o p e r t y   t o   m e r g e   o f   ` t a r g e t `   a n d   ` s o u r c e `   p r o p e r t i e s
（ 说 明 ： J a v a S c r i p t 自 带 的 O b j e c t . a s s i g n 只 能 深 拷 贝 第 一 层 ， 第 一 层 以 后 还 是 浅 拷 贝 。 因 此 很 多 开 发 者 都 会 自 定 义 一 些 递 归 合 并 函 数 。 ） 如 果 有 这 样 一 个 场 景 ： j o b 对 象 是 由 用 户 输 入 的 ， 并 且 用 户 可 以 输 入 任 意 对 象 。 那 么 我 们 输 入 一 个 含 有 “ p r o t o ” 属 性 的 对 象 ， 那 合 并 的 时 候 就 可 以 把 p e r s o n 的 原 型 给 修 改 了 。 此 时 如 果 我 们 新 建 一 个 P e r s o n 对 象 ， 可 以 发 现 ， 新 建 的 对 象 的 原 型 已 被 修 改 。 0 x 0 4 1   递 归 和 非 递 归 递 归 和 非 递 归 需 要 注 意 的 是 ， 只 有 不 安 全 的 递 归 合 并 函 数 才 会 导 致 原 型 链 污 染 ， 非 递 归 的 算 法 是 不 会 导 致 原 型 链 污 染 的 ， 例 如 J a v a S c r i p t 自 带 的 O b j e c t . a s s i g n 。 此 时 再 新 建 一 个 P e r s o n 对 象 ， 可 以 发 现 ， 原 型 未 被 污 染 。 这 是 因 为 O b j e c t . a s s i g n 在 合 并 时 ， 对 于 简 单 类 型 的 属 性 值 得 到 的 是 深 拷 贝 ， 如 s t r i n g ， n u m b e r 。 如 果 属 性 值 是 对 象 或 其 他 引 用 类 型 ， 则 是 浅 拷 贝 。 上 面 例 子 中 的 p r o t o 就 是 一 个 浅 拷 贝 ， 合 并 后 p e r s o n 的 原 型 只 是 指 向 了 一 个 新 对 象 ， 即 { “ x ” :   1 } ， P e r s o n . p r o t o t y p e     f o r   ( c o n s t   k e y   o f   O b j e c t . k e y s ( s o u r c e ) )   {         i f   ( s o u r c e [ k e y ]   i n s t a n c e o f   O b j e c t )   O b j e c t . a s s i g n ( s o u r c e [ k e y ] ,   m e r g e ( t a r g e t [ k e y ] ,   s o u r c e [ k e y ] ) )     }     / /   J o i n   ` t a r g e t `   a n d   m o d i f i e d   ` s o u r c e `     O b j e c t . a s s i g n ( t a r g e t   | |   { } ,   s o u r c e )     r e t u r n   t a r g e t } f u n c t i o n   P e r s o n ( n a m e , a g e , g e n d e r ) {         t h i s . n a m e = n a m e ;         t h i s . a g e = a g e ;         t h i s . g e n d e r = g e n d e r ; } l e t   n e w p e r s o n = n e w   P e r s o n ( " t e s t 1 " , 2 2 , " m a l e " ) ; l e t   j o b = J S O N . p a r s e ( ' { " t i t l e " : " S e c u r i t y   E n g i n e e r " , " c o u n t r y " : " C h i n a " , " _ _ p r o t o _ _ " : { " x " : 1 } } ' ) ; m e r g e ( n e w p e r s o n , j o b ) ; c o n s o l e . l o g ( n e w p e r s o n ) ; f u n c t i o n   P e r s o n ( n a m e , a g e , g e n d e r ) {         t h i s . n a m e = n a m e ;         t h i s . a g e = a g e ;         t h i s . g e n d e r = g e n d e r ; } l e t   p e r s o n 1 = n e w   P e r s o n ( " t e s t 1 " , 2 2 , " m a l e " ) ; l e t   j o b = J S O N . p a r s e ( ' { " t i t l e " : " S e c u r i t y   E n g i n e e r " , " c o u n t r y " : " C h i n a " , " _ _ p r o t o _ _ " : { " x " : 1 } } ' ) ; O b j e c t . a s s i g n ( p e r s o n 1 , j o b ) ; c o n s o l e . l o g ( P e r s o n . p r o t o t y p e ) ;
没 有 受 到 影 响 。 0 x 0 4 2   C V E - 2 0 2 1 - 2 5 9 2 8 漏 洞 P O C 如 下 ： 查 看 s a f e - o b j v 1 . 0 . 0 中 l i b / i n d e x . j s 中 的 e x t e n d 函 数 定 义 如 下 。 第 一 次 调 用 e x p a n d 函 数 ， 传 参 如 下 。 为 , 为 。 执 行 函 数 后 ， p r o p s 数 组 值 如 下 ， 此 时 进 入 e l s e 分 支 。 执 行 p r o p . s h i f t ( ) 语 句 后 ， p r o p 的 值 如 下 。 跳 过 i f 判 断 ， 递 归 调 用 e x p a n d ， 相 当 于 执 行 v a r   s a f e O b j   =   r e q u i r e ( " s a f e - o b j " ) ; v a r   o b j   =   { } ; c o n s o l e . l o g ( " B e f o r e   :   "   +   { } . p o l l u t e d ) ; s a f e O b j .   e x p a n d   ( o b j , ' _ _ p r o t o _ _ . p o l l u t e d ' , ' Y e s !   I t s   P o l l u t e d ' ) ; c o n s o l e . l o g ( " A f t e r   :   "   +   { } . p o l l u t e d ) ; p a t h ' _ _ p r o t o _ _ . p o l l u t e d ' t h i n g ' Y e s !   I t s   P o l l u t e d ' s p l i t ( ' . ' ) e x p a n d ( o b j [ _ _ p r o t o _ _ ] ， " p o l l u t e d " , " Y e s !   I t s   P o l l u t e d " )
再 次 调 用 后 , p r o p s 的 值 为 ” p o l l u t e d ” 。 p r o p s . l e n g t h = = = 1 结 果 为 t r u e ， 执 行 o b j [ p r o p s . s h i f t ( ) ] = t h i n g ， 相 当 于 执 行 ， 造 成 原 型 污 染 。 执 行 后 ， o b j 的 原 型 已 遭 受 污 染 。 0 x 0 4 3   C V E - 2 0 2 1 - 2 5 9 2 7 该 漏 洞 存 在 于 s a f e - f l a t ， v 2 . 0 . 0 ~ v 2 . 0 . 1 版 本 中 ， P O C 如 下 ： 4 4 行 调 用 u n f l a t ( ) 。 入 参 o b j 值 如 下 。 s p l i t ( ' ' . ' ) o b j [ _ _ p r o t o _ _ ] [ " p o l l u t e d " ] = " Y e s !   I t s   P o l l u t e d " v a r   s a f e F l a t   =   r e q u i r e ( " s a f e - f l a t " ) ; c o n s o l e . l o g ( " B e f o r e   :   "   +   { } . p o l l u t e d ) ; s a f e F l a t . u n f l a t t e n ( { " _ _ p r o t o _ _ . p o l l u t e d " :   " Y e s !   I t s   P o l l u t e d " } ,   ' . ' ) ; c o n s o l e . l o g ( " A f t e r   :   "   +   { } . p o l l u t e d ) ;
o r i g i n a l 的 值 为 传 入 的 。 遍 历 o r i g i n a l 中 的 k e y 值 。 调 用 s p l i t ( ) 函 数 对 k e y 值 按 进 行 分 割 ， n e w k e y s 返 回 k e y 的 分 割 后 的 数 组 。 调 用 r e d u c e 函 数 ， 第 一 次 进 入 箭 头 函 数 ， o 为 ， 其 原 型 为 。 k 的 值 为 。 r e t u r n 语 句 返 回 值 为 ， 即 。 第 二 次 进 入 箭 头 函 数 此 时 o 变 量 为 ， k 的 值 为 。 语 句 返 回 的 结 果 为 ， 调 用 r e t u r n 语 句 ， 被 赋 值 为 ， ， 即 ， 造 成 原 型 链 污 染 。 观 察 o b j e c t ， 此 时 已 经 遭 受 污 染 。 { _ _ p r o t p _ _ . p o l l u t e d : " Y e s !   I t s   P o l l i t e d " } " _ _ p r o t o _ _ . p o l l u t e d " " . " [ " _ _ p r o t o _ _ " ,   " p o l l u t e d " ] { } o b j e c t ( ) _ _ p r o t o _ _ o [ _ _ p r o t o _ _ ] o b j e c t ( ) o b j e c t ( ) p o l l u t e d n e w K e y s . l e n g t h   -   1   = = =   i   ?   o r i g i n a l [ k e y ]   :   { } ; T r u e o b j e c t ( ) . p o l l u t e d o r i g i n a l [ " _ _ p r o t o _ _ . p o l l u t e d " ] " Y e s !   I t s   P o l l u t e d "
此 处 修 改 方 式 是 对 用 户 的 输 入 进 行 类 型 的 限 制 ， 修 改 代 码 如 下 ： 至 此 该 漏 洞 已 经 完 成 修 复 。 0 x 0 4 4   C V E - 2 0 1 9 - 1 1 3 5 8 3 . 4 . 0 版 本 之 前 的 j Q u e r y 存 在 一 个 原 型 污 染 漏 洞 C V E - 2 0 1 9 - 1 1 3 5 8 ， P o C 如 下 。 查 看 3 . 3 . 1 版 本 的 源 码 ， e x t e n d 函 数 定 义 在 s r c / c o r e . j s 文 件 的 第 1 2 5 行 。 如 果 该 函 数 的 第 一 个 参 数 为 布 尔 型 的 t r u e ， 合 并 操 作 就 是 深 拷 贝 模 式 。 + l i n e 4 8 ： c o n s t   p r o t o   =   [ ' _ _ p r o t o _ _ ' ,   ' c o n s t r u c t o r ' ,   ' p r o t o t y p e ' ] + l i n e 5 6 ： i f   ( p r o t o . i n c l u d e s ( n e w K e y s [ i ] ) )   r e t u r n   o $ . e x t e n d ( t r u e ,   { } ,   J S O N . p a r s e ( ' { " _ _ p r o t o _ _ " :   { " z " :   1 2 3 } } ' ) ) c o n s o l e . l o g ( z ) ;   / /   1 2 3
P O C 中 e x t e n d 函 数 的 第 2 个 参 数 是 合 并 的 目 标 对 象 ， 此 处 是 空 对 象 { } ， 从 第 3 个 参 数 开 始 ， 就 是 将 要 合 并 到 目 标 对 象 中 的 源 对 象 o p t i o n s ， j Q u e r y 用 一 个 f o r 循 环 依 次 处 理 它 们 。 第 1 5 8 行 的 f o r 循 环 会 依 次 遍 历 o p t i o n s 中 的 属 性 ， 将 它 和 t a r g e t 相 应 的 属 性 合 并 。 因 为 P O C 中 设 置 了 深 拷 贝 ， 因 此 e x t e n d 会 采 用 递 归 算 法 ， 如 下 图 1 8 0 行 代 码 所 示 。 具 体 P O C 运 行 时 ， 第 一 次 执 行 e x t e n d 结 果 如 下 。
其 中 ， t a r g e t 是 对 象 { } ， 第 一 次 被 合 并 的 属 性 是 p r o t o ， 所 以 s r c 等 于 O b j e c t . p r o t o t y p e ， 将 它 与 c o p y = { z ： 1 2 3 } 合 并 。 由 于 c o p y 是 一 个 对 象 ， 因 此 经 过 1 6 8 行 的 判 断 ， 我 们 还 需 要 进 行 下 一 轮 e x t e n d 递 归 。 第 二 次 执 行 e x t e n d ， 被 合 并 的 属 性 是 z 。 由 于 被 合 并 对 象 O b j e c t . p r o t o t y p e 没 有 z 属 性 ， 所 以 s r c 等 于 u n d e f i n e d 。 合 并 后 O b j e c t . p r o t o t y p e 将 多 了 一 个 z 属 性 ， 等 于 1 2 3 。 至 此 ， O b j e c t 原 型 被 污 染 ， 每 一 个 现 有 对 象 和 新 建 对 象 都 将 有 一 个 属 性 ’ z ’ 。 j Q u e r y 在 3 . 4 . 0 版 本 里 修 复 了 该 漏 洞 ， 修 复 方 法 就 是 判 断 一 下 属 性 是 否 有 p r o t o ， 如 果 有 就 跳 过 ， 不 合 并 。 0 x 0 5   按 路 径 定 义 属 性 按 路 径 定 义 属 性 有 些 J a v a S c r i p t 库 的 函 数 支 持 根 据 指 定 的 路 径 修 改 或 定 义 对 象 的 属 性 值 。 通 常 这 些 函 数 类 似 以 下 的 形 式 ： t h e F u n c t i o n ( o b j e c t ,   p a t h , v a l u e ) ， 将 对 象 o b j e c t 的 指 定 路 径 p a t h 上 的 属 性 值 修 改 为 v a l u e 。 如 果 攻 击 者 可 以 控 制 路 径 p a t h 的 值 ， 那 么 将 路 径 设 置 为 p r o t o . t h e V a l u e ， 运 行 t h e F u n c t i o n 函 数 之 后 就 有 可 能 将 t h e V a l u e 属 性 注 入 到 o b j e c t 的 原 型 中 。 0 x 0 5 1 C V E - 2 0 2 0 - 8 2 0 3 l o d a s h 是 一 个 J a v a S c r i p t 实 用 工 具 库 ， 提 供 一 致 性 ， 及 模 块 化 、 性 能 和 配 件 等 功 能 。 在 4 . 1 7 . 1 6 版 本 之 前 ， l o d a s h 存 在 一 个 原 型 污 染 漏 洞 。 漏 洞 原 因 在 于 “ z i p O b j e c t D e e p ” 函 数 能 通 过 指 导 路 径 修 改 O b j e c t 原 型 的 属 性 。 漏 洞 P O C 如 下 ： c o n s t   _   =   r e q u i r e ( ' l o d a s h ' ) ; _ . z i p O b j e c t D e e p ( [ ' _ _ p r o t o _ _ . z ' ] , [ 1 2 3 ] ) c o n s o l e . l o g ( z )   / /   1 2 3
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理