Node.js-ზე თავდასხმა JavaScript ობიექტის პროტოტიპების მანიპულირების გზით

ჰელმჰოლცის ინფორმაციული უსაფრთხოების ცენტრის (CISPA) და სამეფო ტექნოლოგიების ინსტიტუტის (შვედეთი) მკვლევარებმა გაანალიზეს JavaScript-ის პროტოტიპის დაბინძურების ტექნიკის გამოყენებადობა Node.js პლატფორმაზე და მასზე დაფუძნებულ პოპულარულ აპლიკაციებზე თავდასხმების შესაქმნელად, რაც გამოიწვევს კოდის შესრულებას.

პროტოტიპის დაბინძურების მეთოდი იყენებს JavaScript ენის მახასიათებელს, რომელიც საშუალებას გაძლევთ დაამატოთ ახალი თვისებები ნებისმიერი ობიექტის ძირეულ პროტოტიპში. აპლიკაციები შეიძლება შეიცავდეს კოდის ბლოკებს (გაჯეტებს), რომელთა მოქმედებაზე გავლენას ახდენს ჩანაცვლებული თვისება; მაგალითად, კოდი შეიძლება შეიცავდეს კონსტრუქციას, როგორიცაა 'const cmd = options.cmd || "/bin/sh"', რომლის ლოგიკა შეიცვლება, თუ თავდამსხმელი მოახერხებს "cmd" თვისების ჩანაცვლებას root პროტოტიპში.

წარმატებული თავდასხმა მოითხოვს, რომ აპლიკაციას შეუძლია გამოიყენოს გარე მონაცემები ობიექტის root პროტოტიპში ახალი თვისების შესაქმნელად და რომ შესრულება შეხვდება გაჯეტს, რომელიც დამოკიდებულია შეცვლილ თვისებებზე. პროტოტიპის შეცვლა ხდება Node.js-ში „__proto__“ და „კონსტრუქტორი“ სერვისის თვისებების დამუშავებით. თვისება "__proto__" აბრუნებს ობიექტის კლასის პროტოტიპს, ხოლო "constructor" თვისება აბრუნებს ფუნქციას, რომელიც გამოიყენება ობიექტის შესაქმნელად.

თუ განაცხადის კოდი შეიცავს დავალებას "obj[a][b] = მნიშვნელობა" და მნიშვნელობები დაყენებულია გარე მონაცემებიდან, თავდამსხმელს შეუძლია დააყენოს "a" მნიშვნელობაზე "__proto__" და მიაღწიოს საკუთარი ქონების ინსტალაციას. სახელწოდებით „b“ და მნიშვნელობით „მნიშვნელობა“ ობიექტის ძირეულ პროტოტიპში (obj.__proto__.b = მნიშვნელობა;), ხოლო პროტოტიპში მითითებული თვისება ხილული იქნება ყველა ობიექტში. ანალოგიურად, თუ კოდი შეიცავს გამონათქვამებს, როგორიცაა „obj[a][b][c] = მნიშვნელობა“, დაყენებით „a“ „კონსტრუქტორის“ მნიშვნელობაზე და „b“ „პროტოტიპად“ ყველა არსებულ ობიექტში, შეგიძლიათ განსაზღვრეთ ახალი თვისება სახელწოდებით "c" და მნიშვნელობით "მნიშვნელობა".

პროტოტიპის შეცვლის მაგალითი: const o1 = {}; const o2 = new Object(); o1.__proto__.x = 42; // შექმენით თვისება „x“ root prototype console.log (o2.x); // "x" თვისებაზე წვდომა სხვა ობიექტიდან // გამომავალი იქნება 42, ვინაიდან root პროტოტიპი შეიცვალა ობიექტის მეშვეობით o1, რომელიც ასევე გამოიყენება ობიექტში o2

დაუცველი კოდის მაგალითი: ფუნქცია entryPoint (arg1, arg2, arg3){ const obj = {}; const p = obj[arg1]; p[arg2] = arg3; დაბრუნება p; }

თუ entryPoint ფუნქციის არგუმენტები ჩამოყალიბებულია შეყვანის მონაცემებიდან, მაშინ თავდამსხმელს შეუძლია გადასცეს მნიშვნელობა “__proto__” arg1-ს და შექმნას თვისება ნებისმიერი სახელით root პროტოტიპში. თუ თქვენ გადასცემთ arg2 მნიშვნელობას "toString" და arg3 მნიშვნელობას 1, შეგიძლიათ განსაზღვროთ "toString" თვისება (Object.prototype.toString=1) და დაშალოთ აპლიკაცია toString(-თან) ზარის დროს.

სიტუაციების მაგალითები, რომლებმაც შეიძლება გამოიწვიოს თავდამსხმელის კოდის შესრულება, მოიცავს "მთავარი", "ჭურვი", "ექსპორტი", "contextExtensions" და "env" თვისებების შექმნას. მაგალითად, თავდამსხმელს შეუძლია შექმნას "მთავარი" თვისება ობიექტის ძირეულ პროტოტიპში, ჩაწეროს მასში გზა თავისი სკრიპტისკენ (Object.prototype.main = "./../../pwned.js") და ეს თვისება გამოიძახება შესრულების დროს კონსტრუქციის მოთხოვნაში ("my-package") კოდში, თუ ჩართული პაკეტი ცალსახად არ განსაზღვრავს "მთავარ" თვისებას package.json-ში (თუ საკუთრება არ არის განსაზღვრული, იგი მიიღება ძირეული პროტოტიპიდან). "shell", "exports" და "env" თვისებები შეიძლება შეიცვალოს ანალოგიურად: მოდით rootProto = Object.prototype; rootProto["ექსპორტი"] = {".":"./changelog.js"}; rootProto["1"] = "/path/to/npm/scripts/"; // trigger call მოითხოვს("./target.js"); Object.prototype.main = "/path/to/npm/scripts/changelog.js"; Object.prototype.shell = "კვანძი"; Object.prototype.env = {}; Object.prototype.env.NODE_OPTIONS = "—inspect-brk=0.0.0.0:1337"; // გამოძახების მოთხოვნა მოითხოვს ("ბაიტი");

მკვლევარებმა გააანალიზეს 10 NPM პაკეტი დამოკიდებულების ყველაზე დიდი რაოდენობით და დაადგინეს, რომ მათგან 1958-ს არ აქვს ძირითადი თვისება package.json-ში, 4420 იყენებს შედარებით ბილიკებს მათი მოთხოვნების განცხადებებში, ხოლო 355 უშუალოდ იყენებს ბრძანების ჩანაცვლების API-ს.

სამუშაო მაგალითი არის ექსპლოიტი Parse Server backend-ზე თავდასხმისთვის, რომელიც არღვევს evalFunctions თვისებას. ასეთი მოწყვლადობის იდენტიფიკაციის გასამარტივებლად შემუშავდა ხელსაწყოების ნაკრები, რომელიც აერთიანებს სტატიკური და დინამიური ანალიზის მეთოდებს. Node.js-ის ტესტირებისას გამოვლინდა 11 გაჯეტი, რომელთა გამოყენება შესაძლებელია თავდასხმების ორგანიზებისთვის, რაც იწვევს თავდამსხმელის კოდის შესრულებას. Parse სერვერის გარდა, ორი ექსპლუატირებადი დაუცველობა ასევე გამოვლინდა NPM CLI-ში.

წყარო: opennet.ru