搜索

[13274] 2018-10-07_你为什么不应该在JS文件中保存敏感信息？

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-10-07_你为什么不应该在JS文件中保存敏感信息？ 你 为 什 么 不 应 该 在 J S 文 件 中 保 存 敏 感 信 息 ？ A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 1 0 - 0 7 在 在 J a v a S c r i p t 文 件 中 存 储 敏 感 数 据 ， 不 仅 是 一 种 错 误 的 实 践 方 式 ， 而 且 还 是 一 种 非 常 危 险 的 行 为 ， 长 期 以 来 大 文 件 中 存 储 敏 感 数 据 ， 不 仅 是 一 种 错 误 的 实 践 方 式 ， 而 且 还 是 一 种 非 常 危 险 的 行 为 ， 长 期 以 来 大 家 都 知 道 这 一 点 。 家 都 知 道 这 一 点 。 而 原 因 也 非 常 简 单 ， 我 们 可 以 假 设 你 为 你 的 用 户 动 态 生 成 了 一 个 包 含 A P I 密 钥 的 J a v a S c r i p t 文 件 ： 跟 上 述 例 子 一 样 ， 每 当 你 在 全 局 范 围 创 建 一 个 变 量 ， 意 味 着 网 站 中 任 何 一 部 分 代 码 都 可 以 访 问 到 这 个 变 量 ， 包 括 你 托 管 的 其 他 脚 本 在 内 。 为 什 么 这 样 做 很 明 显 是 不 安 全 的 ？ 为 什 么 这 样 做 很 明 显 是 不 安 全 的 ？ 为 什 么 开 发 人 员 不 应 该 在 J a v a S c r i p t 文 件 中 嵌 入 敏 感 信 息 呢 ？ 原 因 有 很 多 ， 对 于 经 验 不 丰 富 的 开 发 人 员 来 说 ， 通 过 J a v a S c r i p t 文 件 来 传 递 数 据 是 一 种 非 常 简 单 的 方 法 ， 因 为 你 可 以 将 数 据 在 服 务 器 端 生 成 和 存 储 ， 然 后 将 它 们 传 递 给 客 户 端 代 码 ， 而 且 这 样 还 可 以 节 省 一 部 分 发 送 给 服 务 器 端 的 请 求 。 但 是 ， 这 种 时 候 我 们 通 常 会 忽 略 的 一 个 因 素 就 是 浏 览 器 的 扩 展 插 件 ， 有 的 时 候 为 了 使 用 相 同 的 窗 口 对 象 ， 它 们 有 的 时 候 需 要 直 接 在 D O M 中 注 入 s c r i p t 标 签 ， 因 为 仅 仅 依 靠 内 容 脚 本 可 能 无 法 实 现 预 期 的 功 能 。 有 没 有 办 法 保 护 变 量 的 安 全 ？ 有 没 有 办 法 保 护 变 量 的 安 全 ？ 我 们 之 前 已 经 讨 论 了 全 局 范 围 了 ， 对 于 浏 览 器 中 的 J a v a S c r i p t 来 说 ， 一 个 全 局 变 量 对 于 窗 口 对 象 来 说 是 非 常 有 用 的 。 但 是 在 E C M A   S c r i p t 5 中 ， 还 有 一 种 额 外 的 范 围 ， 也 就 是 函 数 范 围 。 这 也 就 意 味 着 ， 如 果 我 们 使 用 v a r 关 键 字 在 一 个 函 数 内 部 声 明 了 一 个 变 量 ， 它 就 不 是 全 局 变 量 了 。 而 在 E C M A   S c r i p t   6 中 又 引 入 了 另 一 种 范 围 ， 即 块 范 围 ， 这 个 范 围 内 的 变 量 使 用 c o n s t 和 l e t 关 键 字 来 声 明 。 这 两 种 关 键 字 可 以 用 来 声 明 块 范 围 中 的 变 量 ， 但 是 我 们 无 法 修 改 c o n s t 变 量 的 值 、 如 果 我 们 没 有 用 这 些 关 键 词 来 声 明 变 量 ， 或 者 说 我 们 在 函 数 外 部 使 用 了 v a r 变 量 ， 我 们 就 相 当 于 创 建 了 一 个 全 局 变 量 ， 而 这 种 情 况 并 不 是 我 们 经 常 想 要 出 现 a p i C a l l =   f u n c t i o n ( t y p e ,   a p i _ k e y ,   d a t a )   {   . . .   } v a r   a p i _ k e y   =   ' 1 3 9 1 f 6 b d 2 f 6 f e 8 d c a f b 8 4 7 e 0 6 1 5 e 5 b 2 9 ' v a r   p r o f i l e I n f o   =   a p i C a l l ( ' g e t P r o f i l e ' ,   a p i _ k e y ,   ' a l l ' )
的 。 “ u s e   s t r i c t ” 为 了 防 止 你 不 小 心 创 建 了 全 局 变 量 ， 其 中 一 种 有 效 方 法 就 是 激 活 限 制 模 式 ， 大 家 可 以 在 一 个 文 件 或 函 数 的 起 始 位 置 添 加 字 符 串 “ u s e   s t r i c t ” 来 实 现 这 个 功 能 。 接 下 来 ， 如 果 你 之 前 没 有 声 明 这 个 变 量 的 话 ， 你 将 无 法 使 用 这 个 变 量 。 我 们 可 以 在 I I F E （ 立 即 调 用 的 函 数 表 达 式 ） 中 使 用 这 种 技 术 ， I I F E 可 以 用 来 创 建 一 个 函 数 范 围 ， 但 是 它 们 会 立 即 执 行 函 数 主 体 ， 比 如 说 ： 可 能 乍 看 过 去 这 会 是 一 种 创 建 变 量 的 有 效 方 式 （ 其 内 容 无 法 在 范 围 外 读 取 ） ， 但 其 实 不 然 。 虽 然 I I F E 是 一 种 防 止 全 局 命 名 空 间 被 干 扰 的 有 效 方 式 ， 但 是 它 们 并 不 能 真 正 保 护 你 的 数 据 内 容 。 从 私 有 变 量 中 读 取 敏 感 数 据 从 私 有 变 量 中 读 取 敏 感 数 据 实 际 上 ， 我 们 几 乎 无 法 保 证 私 有 变 量 中 的 内 容 真 正 的 是 “ 私 有 ” 的 。 原 因 有 非 常 多 ， 我 们 接 下 来 会 对 其 中 的 部 分 进 行 测 试 ， 虽 然 不 够 完 整 ， 但 也 足 够 证 明 给 大 家 看 ， 为 什 么 我 们 不 能 在 J a v a S c r i p t 文 件 中 存 储 敏 感 数 据 。 重 写 原 生 函 数 重 写 原 生 函 数 在 下 面 的 例 子 中 ， 我 们 将 使 用 一 个 a p i 密 钥 来 向 服 务 器 端 发 送 请 求 。 因 此 ， 我 们 需 要 通 过 网 络 并 以 明 文 数 据 的 形 式 发 送 这 个 密 钥 ， 而 且 现 在 在 J a v a S c r i p t 中 也 没 有 多 少 其 他 可 选 择 的 方 法 。 假 设 我 们 的 代 码 使 用 了 f e t c h ( ) 函 数 ： 你 可 以 看 到 ， 我 们 可 以 直 接 重 写 f e t c h ( ) 函 数 ， 然 后 窃 取 A P I 密 钥 。 唯 一 的 前 提 就 是 我 们 需 要 在 我 们 的 脚 本 块 后 i n c l u d e 一 个 外 部 脚 本 。 在 这 个 例 子 中 ， 我 们 只 是 在 控 制 台 c o n s o l e . l o g 出 来 了 这 个 A P I 密 钥 ， 但 实 际 操 作 中 我 们 还 需 要 将 其 发 送 到 我 们 的 服 务 器 中 。 定 义 定 义 S e t t e r 和 和 G e t t e r 私 有 变 量 中 可 能 不 仅 包 含 字 符 串 ， 还 有 可 能 包 含 对 象 或 数 组 。 对 象 可 以 有 不 同 的 属 性 ， 在 多 数 情 况 下 ， 你 可 以 直 接 设 置 和 读 取 它 们 的 值 ， 但 是 J a v a S c r i p t 还 支 持 很 多 其 他 有 意 思 的 功 能 。 比 如 说 ， 你 可 以 在 一 个 对 象 的 属 性 被 设 置 或 被 访 问 的 时 候 执 行 另 一 个 函 数 ， 这 里 可 以 使 用 d e f i n e S e t t e r 和 d e f i n e G e t t e r 函 数 来 实 现 。 如 果 我 们 在 对 象 构 造 函 数 的 原 型 中 使 用 d e f i n e S e t t e r 函 数 ， 我 们 就 可 以 输 出 分 配 给 目 标 对 象 属 性 的 所 有 值 。 如 果 分 配 给 对 象 属 性 的 是 一 个 A P I 密 钥 ， 那 我 们 就 可 以 直 接 在 s e t t e r 中 访 问 它 了 。 另 一 方 面 ， g e t t e r 也 可 以 确 保 我 们 的 后 续 代 码 能 够 正 确 执 行 。 自 定 义 枚 举 器 自 定 义 枚 举 器 数 组 肯 定 是 不 能 忽 略 的 一 个 因 素 ， 如 果 代 码 中 使 用 了 f o r 循 环 来 遍 历 数 组 值 ， 我 们 就 可 以 在 数 组 构 造 器 原 型 中 定 义 一 个 自 定 义 的 枚 举 器 ， 这 样 不 仅 可 以 允 许 我 们 访 问 数 组 中 的 内 容 ， 而 且 也 不 会 影 响 原 生 函 数 的 功 能 。 " u s e   s t r i c t " ; v a r   t e s t 1   =   ' a r k a '   / /   有 效 t e s t 2 =   ' k a p ı '   / /   引 用 错 误 ( f u n c t i o n ( ) {         " u s e   s t r i c t " ;         / / 在 函 数 范 围 内 声 明 变 量         v a r   p r i v a t e V a r   =   ' S e c r e t   v a l u e ' ;   } ) ( ) c o n s o l e . l o g ( p r i v a t e V a r )   / /   引 用 错 误 w i n d o w . f e t c h =   ( u r l ,   o p t i o n s )   = >   {         c o n s o l e . l o g ( ` U R L :   $ { u r l } ,   d a t a : $ { o p t i o n s . b o d y } ` ) ; } ; / / E X T E R N A L   S C R I P T   S T A R T ( f u n c t i o n ( ) {         " u s e   s t r i c t " ;         v a r   a p i _ k e y   = " 1 3 9 1 f 6 b d 2 f 6 f e 8 d c a f b 8 4 7 e 0 6 1 5 e 5 b 2 9 "         f e t c h ( ' / a p i / v 1 / g e t u s e r s ' ,   {                 m e t h o d :   " P O S T " ,                 b o d y :   " a p i _ k e y = "   +   a p i _ k e y         } ) ; } ) ( ) / / E X T E R N A L   S C R I P T   E N D O b j e c t . p r o t o t y p e . _ _ d e f i n e S e t t e r _ _ ( ' a p i _ k e y ' , f u n c t i o n ( v a l u e ) {         c o n s o l e . l o g ( v a l u e ) ;         r e t u r n   t h i s . _ a p i _ k e y   =   v a l u e ; } ) ; O b j e c t . p r o t o t y p e . _ _ d e f i n e G e t t e r _ _ ( ' a p i _ k e y ' , f u n c t i o n ( ) {         r e t u r n   t h i s . _ a p i _ k e y ; } ) ; / / E X T E R N A L   S C R I P T   S T A R T ( f u n c t i o n ( ) {         " u s e   s t r i c t "         l e t   o p t i o n s   =   { }         o p t i o n s . a p i _ k e y   = " 1 3 9 1 f 6 b d 2 f 6 f e 8 d c a f b 8 4 7 e 0 6 1 5 e 5 b 2 9 "         o p t i o n s . n a m e   =   " A l i c e "         o p t i o n s . e n d p o i n t   = " g e t _ u s e r _ d a t a "         a n o t h e r A P I C a l l ( o p t i o n s ) ; } ) ( ) / / E X T E R N A L   S C R I P T   E N D A r r a y . p r o t o t y p e [ S y m b o l . i t e r a t o r ] =   f u n c t i o n ( )   {         l e t   a r r   =   t h i s ;         l e t   i n d e x   =   0 ;         c o n s o l e . l o g ( a r r )         r e t u r n   {                 n e x t :   f u n c t i o n ( )   {                         r e t u r n   {                                 v a l u e :   a r r [ i n d e x + + ] ,                                 d o n e :   i n d e x   >   a r r . l e n g t h                         }                 }         } } ; / / E X T E R N A L   S C R I P T   S T A R T ( f u n c t i o n ( ) {         l e t   s e c r e t A r r a y   =   [ " t h i s " , " c o n t a i n s " ,   " a n " ,   " A P I " ,   " k e y " ] ;         f o r   ( l e t   e l e m e n t   o f   s e c r e t A r r a y )   {                 d o S o m e t h i n g ( e l e m e n t ) ;         } } ) ( ) / / E X T E R N A L   S C R I P T   E N D
后 话 后 话 除 了 本 文 所 介 绍 的 方 法 之 外 ， 攻 击 者 还 有 很 多 从 J a v a S c r i p t 文 件 中 窃 取 敏 感 信 息 的 方 法 。 有 的 情 况 下 ， 使 用 I I F E 、 限 制 模 式 和 在 函 数 / 块 范 围 声 明 变 量 都 不 一 定 能 保 证 你 的 安 全 。 因 此 ， 我 建 议 大 家 可 以 从 服 务 器 端 动 态 获 取 敏 感 数 据 ， 而 不 是 直 接 在 J a v a S c r i p t 文 件 中 存 储 敏 感 数 据 。 这 样 不 仅 更 加 安 全 ， 而 且 还 易 于 维 护 ， 何 乐 而 不 为 ？ * 参 考 来 源 ： 参 考 来 源 ： a r k a k a p i m a g ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理