JavaScript ऑब्जेक्ट प्रोटोटाइपच्या हाताळणीद्वारे Node.js वर हल्ला

Helmholtz Centre for Information Security (CISPA) आणि रॉयल इन्स्टिट्यूट ऑफ टेक्नॉलॉजी (स्वीडन) च्या संशोधकांनी Node.js प्लॅटफॉर्म आणि त्यावर आधारित लोकप्रिय ऍप्लिकेशन्सवर हल्ले तयार करण्यासाठी JavaScript प्रोटोटाइप प्रदूषण तंत्राच्या उपयुक्ततेचे विश्लेषण केले, ज्यामुळे कोडची अंमलबजावणी झाली.

प्रोटोटाइप प्रदुषण पद्धत JavaScript भाषेचे वैशिष्ट्य वापरते जी तुम्हाला कोणत्याही ऑब्जेक्टच्या मूळ प्रोटोटाइपमध्ये नवीन गुणधर्म जोडण्याची परवानगी देते. अॅप्लिकेशन्समध्ये कोड ब्लॉक्स (गॅझेट्स) असू शकतात ज्यांचे ऑपरेशन बदललेल्या मालमत्तेमुळे प्रभावित झाले आहे; उदाहरणार्थ, कोडमध्ये 'const cmd = options.cmd || सारखी रचना असू शकते. "/bin/sh"', जर आक्रमणकर्त्याने रूट प्रोटोटाइपमध्ये "cmd" गुणधर्म बदलण्यास व्यवस्थापित केले तर त्यातील तर्क बदलला जाईल.

यशस्वी हल्ल्यासाठी ऍप्लिकेशनने ऑब्जेक्टच्या रूट प्रोटोटाइपमध्ये नवीन गुणधर्म तयार करण्यासाठी बाह्य डेटा वापरणे आवश्यक आहे आणि त्या अंमलबजावणीमध्ये सुधारित मालमत्तेवर अवलंबून असलेल्या गॅझेटचा सामना करावा लागतो. प्रोटोटाइप बदलणे Node.js मधील “__proto__” आणि “constructor” सेवा गुणधर्मांवर प्रक्रिया करून पूर्ण केले जाते. "__प्रोटो__" गुणधर्म ऑब्जेक्टच्या वर्गाचा प्रोटोटाइप देतो आणि "कन्स्ट्रक्टर" गुणधर्म ऑब्जेक्ट तयार करण्यासाठी वापरलेले फंक्शन परत करते.

ऍप्लिकेशन कोडमध्ये असाइनमेंट "obj[a][b] = value" असल्यास आणि मूल्ये बाह्य डेटावरून सेट केली असल्यास, आक्रमणकर्ता "__proto__" मूल्यावर "a" सेट करू शकतो आणि त्यांच्या स्वतःच्या मालमत्तेची स्थापना साध्य करू शकतो ऑब्जेक्टच्या रूट प्रोटोटाइपमध्ये “b” आणि व्हॅल्यू “value” सह (obj.__proto__.b = value;), आणि प्रोटोटाइपमध्ये सेट केलेली प्रॉपर्टी सर्व ऑब्जेक्ट्समध्ये दृश्यमान असेल. त्याचप्रमाणे, जर कोडमध्ये “obj[a][b][c] = value” सारखे अभिव्यक्ती असतील तर, “कंस्ट्रक्टर” व्हॅल्यूवर “a” सेट करून आणि “b” ला “प्रोटोटाइप” वर सेट करून, तुम्ही सर्व विद्यमान ऑब्जेक्ट्समध्ये "c" नावासह आणि "मूल्य" मूल्यासह नवीन गुणधर्म परिभाषित करा.

प्रोटोटाइप बदलण्याचे उदाहरण: const o1 = {}; const o2 = नवीन ऑब्जेक्ट(); o1.__proto__.x = 42; // रूट प्रोटोटाइप console.log (o2.x) मध्ये गुणधर्म “x” तयार करा; // दुसर्‍या ऑब्जेक्टमधून "x" ऍक्सेस प्रॉपर्टी // आउटपुट 42 असेल, कारण रूट प्रोटोटाइप ऑब्जेक्ट o1 द्वारे बदलला होता, जो ऑब्जेक्ट o2 मध्ये देखील वापरला जातो.

असुरक्षित कोडचे उदाहरण: फंक्शन एंट्रीपॉइंट (arg1, arg2, arg3){ const obj = {}; const p = obj[arg1]; p[arg2] = arg3; परत p; }

जर एंट्रीपॉईंट फंक्शन आर्ग्युमेंट्स इनपुट डेटामधून तयार केले गेले असतील, तर आक्रमणकर्ता "__प्रोटो__" मूल्य arg1 ला पास करू शकतो आणि रूट प्रोटोटाइपमध्ये कोणत्याही नावासह गुणधर्म तयार करू शकतो. तुम्ही "toString" मूल्य arg2 आणि मूल्य 3 arg1 पास केल्यास, तुम्ही "toString" गुणधर्म (Object.prototype.toString=1) परिभाषित करू शकता आणि toString() वर कॉल करताना अनुप्रयोग क्रॅश करू शकता.

आक्रमणकर्ता कोडची अंमलबजावणी होऊ शकते अशा परिस्थितीच्या उदाहरणांमध्ये "मुख्य", "शेल", "निर्यात", "संदर्भविस्तार" आणि "एनव्ही" गुणधर्मांची निर्मिती समाविष्ट आहे. उदाहरणार्थ, आक्रमणकर्ता ऑब्जेक्टच्या रूट प्रोटोटाइपमध्ये "मुख्य" गुणधर्म तयार करू शकतो, त्यात त्याच्या स्क्रिप्टचा मार्ग लिहू शकतो (Object.prototype.main = “./../../pwned.js”) आणि जर समाविष्ट पॅकेज पॅकेज.json मधील "मुख्य" गुणधर्म स्पष्टपणे परिभाषित करत नसेल (जर मालमत्ता परिभाषित केली नसेल, ते रूट प्रोटोटाइपमधून प्राप्त केले जाईल). “शेल”, “एक्सपोर्ट्स” आणि “एनव्ही” गुणधर्म अशाच प्रकारे बदलले जाऊ शकतात: रूटप्रोटो = ऑब्जेक्ट.प्रोटोटाइप द्या; rootProto["exports"] = {".":"./changelog.js"}; rootProto["1"] = "/path/to/npm/scripts/"; // ट्रिगर कॉल आवश्यक (."/target.js"); Object.prototype.main = "/path/to/npm/scripts/changelog.js"; Object.prototype.shell = "नोड"; Object.prototype.env = {}; Object.prototype.env.NODE_OPTIONS = "-inspect-brk=0.0.0.0:1337"; // ट्रिगर कॉल आवश्यक ("बाइट्स");

संशोधकांनी सर्वाधिक अवलंबनांसह 10 NPM पॅकेजचे विश्लेषण केले आणि असे आढळले की त्यापैकी 1958 ची पॅकेज.json मध्ये मुख्य मालमत्ता नाही, 4420 त्यांच्या आवश्यक विधानांमध्ये सापेक्ष मार्ग वापरतात आणि 355 थेट कमांड प्रतिस्थापन API वापरतात.

कार्यरत उदाहरण म्हणजे पार्स सर्व्हर बॅकएंडवर हल्ला करण्यासाठी एक शोषण जे evalFunctions गुणधर्म अधिलिखित करते. अशा भेद्यता ओळखणे सोपे करण्यासाठी, एक टूलकिट विकसित केले गेले आहे जे स्थिर आणि गतिशील विश्लेषण पद्धती एकत्र करते. Node.js च्या चाचणी दरम्यान, 11 गॅझेट ओळखले गेले जे हल्ले आयोजित करण्यासाठी वापरले जाऊ शकतात ज्यामुळे आक्रमणकर्त्याच्या कोडची अंमलबजावणी होते. पार्स सर्व्हर व्यतिरिक्त, दोन शोषक असुरक्षा देखील NPM CLI मध्ये ओळखल्या गेल्या.

स्त्रोत: opennet.ru