BugKu-WEB-sodirty

MQ4

已于 2024-07-02 14:47:55 修改

阅读量805

点赞数 21

CC 4.0 BY-SA版权

分类专栏： CTF 文章标签：前端网络安全 web安全计算机网络安全

于 2024-07-02 14:20:39 首次发布

本文链接：https://blog.csdn.net/m0_52061428/article/details/140125401

CTF 专栏收录该内容

18 篇文章

订阅专栏

前言

七月始,暑假副本也正式开启

正文

信息收集

看着貌似没啥意义

看样子是有备份文件

下载下来

快速审计一下

代码审计

来吧

app.js没啥东西,主要是功能是实现error

我们找一找有没有index.js

找到了

\www\routes\index.js

var express = require('express');
const setFn = require('set-value');
var router = express.Router();


const Admin = {
    "password":process.env.password?process.env.password:"password"
}


router.post("/getflag", function (req, res, next) {
    if (req.body.password === undefined || req.body.password === req.session.challenger.password){
        res.send("登录失败");
    }else{
        if(req.session.challenger.age > 79){
            res.send("糟老头子坏滴很");
        }
        let key = req.body.key.toString();
        let password = req.body.password.toString();
        if(Admin[key] === password){
            res.send(process.env.flag ? process.env.flag : "flag{test}");
        }else {
            res.send("密码错误，请使用管理员用户名登录.");
        }
    }

});
router.get('/reg', function (req, res, next) {
    req.session.challenger = {
        "username": "user",
        "password": "pass",
        "age": 80
    }
    res.send("用户创建成功!");
});

router.get('/', function (req, res, next) {
    res.redirect('index');
});
router.get('/index', function (req, res, next) {
    res.send('<title>BUGKU-登录</title><h1>前端被炒了<br><br><br><a href="./reg">注册</a>');
});
router.post("/update", function (req, res, next) {
    if(req.session.challenger === undefined){
        res.redirect('/reg');
    }else{
        if (req.body.attrkey === undefined || req.body.attrval === undefined) {
            res.send("传参有误");
        }else {
            let key = req.body.attrkey.toString();
            let value = req.body.attrval.toString();
            setFn(req.session.challenger, key, value);
            res.send("修改成功");
        }
    }
});

module.exports = router;

看到了没扫到的接口

同时也发现setFn极有可能存在原型链污染

const setFn = require('set-value');

setFn(req.session.challenger, key, value);

由于名字叫做sodirty,所以更加坚定了这个想法

我们来讲一讲什么原型链污染

原型链污染是一种在JavaScript中可能存在的安全漏洞，它允许攻击者修改对象的原型属性，从而影响到其他依赖这些属性的对象。这种攻击通常发生在Web应用程序中，当开发者没有正确地验证或清理用户提交的数据，并且这些数据被用作构造函数或对象方法的参数时，就可能发生原型链污染

这里setFn作为指针动态调用set-value,且key 的值完全由用户控制（通过 req.body.attrkey）

如果我们尝试构造"__proto__[password]" 或 "constructor.prototype.password"，那么他们可以尝试修改对象原型，从而改变其继承的属性

具体来说，当 key 是一个指向原型属性的路径时，set-value 库可能会尝试在原型链上设置这个属性，这就会导致原型链污染

这边Admin 对象的 password 字段被用于比较，如果攻击者能够通过原型链污染将原型中的 password 属性设置为与 Admin 相同的值，那么他们就可以绕过身份验证，从而获取到 flag

当然这目前只是猜想

除此之外

        if(req.session.challenger.age > 79){
            res.send("糟老头子坏滴很");
        }

router.get('/reg', function (req, res, next) {
    req.session.challenger = {
        "username": "user",
        "password": "pass",
        "age": 80
    }
    res.send("用户创建成功!");
});

/reg默认创建age:80

所以我们需要通过

router.post("/update", function (req, res, next) {
    if(req.session.challenger === undefined){
        res.redirect('/reg');
    }else{
        if (req.body.attrkey === undefined || req.body.attrval === undefined) {
            res.send("传参有误");
        }else {
            let key = req.body.attrkey.toString();
            let value = req.body.attrval.toString();
            setFn(req.session.challenger, key, value);
            res.send("修改成功");
        }
    }

进行修改