जावास्क्रिप्ट ऑब्जेक्ट प्रोटोटाइप में हेरफेर के माध्यम से Node.js पर हमला

हेल्महोल्ट्ज़ सेंटर फ़ॉर इंफ़ॉर्मेशन सिक्योरिटी (CISPA) और रॉयल इंस्टीट्यूट ऑफ़ टेक्नोलॉजी (स्वीडन) के शोधकर्ताओं ने Node.js प्लेटफ़ॉर्म और उस पर आधारित लोकप्रिय अनुप्रयोगों पर हमले बनाने के लिए जावास्क्रिप्ट प्रोटोटाइप प्रदूषण तकनीक की प्रयोज्यता का विश्लेषण किया, जिससे कोड निष्पादन हुआ।

प्रोटोटाइप प्रदूषण विधि जावास्क्रिप्ट भाषा की एक सुविधा का उपयोग करती है जो आपको किसी भी ऑब्जेक्ट के रूट प्रोटोटाइप में नए गुण जोड़ने की अनुमति देती है। एप्लिकेशन में कोड ब्लॉक (गैजेट्स) हो सकते हैं जिनका संचालन किसी प्रतिस्थापित संपत्ति से प्रभावित होता है; उदाहरण के लिए, कोड में 'const cmd = option.cmd ||' जैसा निर्माण हो सकता है। "/bin/sh"', जिसका तर्क बदल दिया जाएगा यदि हमलावर रूट प्रोटोटाइप में "cmd" संपत्ति को प्रतिस्थापित करने का प्रबंधन करता है।

एक सफल हमले के लिए आवश्यक है कि एप्लिकेशन ऑब्जेक्ट के रूट प्रोटोटाइप में एक नई प्रॉपर्टी बनाने के लिए बाहरी डेटा का उपयोग कर सके, और निष्पादन एक गैजेट का सामना करता है जो संशोधित प्रॉपर्टी पर निर्भर करता है। प्रोटोटाइप को बदलना Node.js में "__proto__" और "कन्स्ट्रक्टर" सेवा गुणों को संसाधित करके पूरा किया जाता है। "__proto__" प्रॉपर्टी ऑब्जेक्ट के वर्ग का प्रोटोटाइप लौटाती है, और "कन्स्ट्रक्टर" प्रॉपर्टी ऑब्जेक्ट बनाने के लिए उपयोग किए गए फ़ंक्शन को लौटाती है।

यदि एप्लिकेशन कोड में असाइनमेंट "obj[a][b] = वैल्यू" शामिल है और मान बाहरी डेटा से सेट किए गए हैं, तो एक हमलावर "a" को "__proto__" मान पर सेट कर सकता है और अपनी संपत्ति की स्थापना प्राप्त कर सकता है। ऑब्जेक्ट के रूट प्रोटोटाइप में नाम "बी" और मान "वैल्यू" के साथ (obj.__proto__.b = वैल्यू;), और प्रोटोटाइप में सेट की गई संपत्ति सभी ऑब्जेक्ट में दिखाई देगी। इसी प्रकार, यदि कोड में "obj[a][b][c] = value" जैसे भाव हैं, तो सभी मौजूदा ऑब्जेक्ट में "a" को "कन्स्ट्रक्टर" मान और "b" को "प्रोटोटाइप" पर सेट करके, आप ऐसा कर सकते हैं "c" नाम और मान "value" के साथ एक नई संपत्ति को परिभाषित करें।

प्रोटोटाइप बदलने का उदाहरण: const o1 = {}; स्थिरांक o2 = नया ऑब्जेक्ट(); o1.__proto__.x = 42; // रूट प्रोटोटाइप कंसोल.लॉग (o2.x) में प्रॉपर्टी "x" बनाएं; // किसी अन्य ऑब्जेक्ट से प्रॉपर्टी "x" तक पहुंचें // आउटपुट 42 होगा, क्योंकि रूट प्रोटोटाइप को ऑब्जेक्ट ओ 1 के माध्यम से बदल दिया गया था, जिसका उपयोग ऑब्जेक्ट ओ 2 में भी किया जाता है

असुरक्षित कोड का उदाहरण: फ़ंक्शन एंट्रीप्वाइंट (arg1, arg2, arg3){ const obj = {}; स्थिरांक पी = obj[arg1]; पी[arg2] = arg3; वापसी पी; }

यदि एंट्रीपॉइंट फ़ंक्शन तर्क इनपुट डेटा से बनते हैं, तो एक हमलावर "__proto__" मान को arg1 में पास कर सकता है और रूट प्रोटोटाइप में किसी भी नाम के साथ एक प्रॉपर्टी बना सकता है। यदि आप arg2 को "toString" मान और arg3 को मान 1 पास करते हैं, तो आप "toString" प्रॉपर्टी (Object.prototype.toString=1) को परिभाषित कर सकते हैं और toString() पर कॉल के दौरान एप्लिकेशन को क्रैश कर सकते हैं।

ऐसी स्थितियों के उदाहरण जो हमलावर कोड निष्पादन का कारण बन सकते हैं उनमें "मुख्य", "शेल", "निर्यात", "संदर्भ एक्सटेंशन" और "एनवी" गुणों का निर्माण शामिल है। उदाहरण के लिए, एक हमलावर किसी ऑब्जेक्ट के रूट प्रोटोटाइप में एक "मुख्य" प्रॉपर्टी बना सकता है, उसमें अपनी स्क्रिप्ट का पथ लिख सकता है (Object.prototype.main = "./../../pwned.js") और इस संपत्ति को निर्माण आवश्यकता ("माय-पैकेज") के कोड में निष्पादन के समय बुलाया जाएगा, यदि शामिल पैकेज पैकेज.जेसन में "मुख्य" संपत्ति को स्पष्ट रूप से परिभाषित नहीं करता है (यदि संपत्ति परिभाषित नहीं है, इसे रूट प्रोटोटाइप से प्राप्त किया जाएगा)। "शेल", "निर्यात" और "एनवी" गुणों को समान रूप से प्रतिस्थापित किया जा सकता है: रूटप्रोटो = ऑब्जेक्ट.प्रोटोटाइप; RootProto["exports"] = {"।":"।/changelog.js"}; रूटप्रोटो["1"] = "/पथ/से/एनपीएम/स्क्रिप्ट/"; // ट्रिगर कॉल की आवश्यकता है ("/target.js"); ऑब्जेक्ट.प्रोटोटाइप.मेन = "/path/to/npm/scripts/changelog.js"; ऑब्जेक्ट.प्रोटोटाइप.शेल = "नोड"; ऑब्जेक्ट.प्रोटोटाइप.env = {}; object.prototype.env.NODE_OPTIONS = "—inspect-brk=0.0.0.0:1337"; // ट्रिगर कॉल की आवश्यकता है ("बाइट्स");

शोधकर्ताओं ने सबसे बड़ी संख्या में निर्भरता वाले 10 एनपीएम पैकेजों का विश्लेषण किया और पाया कि उनमें से 1958 के पास package.json में मुख्य संपत्ति नहीं है, 4420 अपने आवश्यक कथनों में सापेक्ष पथों का उपयोग करते हैं, और 355 सीधे कमांड प्रतिस्थापन एपीआई का उपयोग करते हैं।

एक कार्यशील उदाहरण पार्स सर्वर बैकएंड पर हमला करने के लिए एक शोषण है जो evalFunctions संपत्ति को ओवरराइड करता है। ऐसी कमजोरियों की पहचान को सरल बनाने के लिए, एक टूलकिट विकसित किया गया है जो स्थिर और गतिशील विश्लेषण विधियों को जोड़ता है। Node.js के परीक्षण के दौरान, 11 गैजेट्स की पहचान की गई जिनका उपयोग हमलों को व्यवस्थित करने के लिए किया जा सकता है जो हमलावर के कोड के निष्पादन की ओर ले जाते हैं। पार्स सर्वर के अलावा, एनपीएम सीएलआई में दो शोषण योग्य कमजोरियों की भी पहचान की गई थी।

स्रोत: opennet.ru