0
0

第30天：安全开发-JS 应用&NodeJS 指南&原型链污染&Express 框架&功能实现&审计0

时间轴：

演示案例：

环境搭建-NodeJS-解析安装&库安装

功能实现-NodeJS-数据库&文件&执行

安全问题-NodeJS-注入&RCE&原型链

案例分析-NodeJS-CTF 题目&源码审计

开发指南-NodeJS-安全 SecGuide 项目、

环境搭建-NodeJS-解析安装&库安装

node.js是运行在服务端的JavaScript。

0、文档参考：

https://www.w3cschool.cn/nodejs/

1、Nodejs 安装

https://nodejs.org/en

作者安装的是18.16.0.安装好后重启电脑，让环境进行配置。 （只有这样才能使npm，node这些生效）

2、三方库安装

express

Express 是一个简洁而灵活的 node.js Web 应用框架

body-parser

node.js 中间件，用于处理 JSON, Raw, Text 和 URL 编码的数据。

cookie-parser

这就是一个解析 Cookie 的工具。通过 req.cookies 可以取到传过来的 cookie，并把

它们转成对象。

multer

node.js 中间件，用于处理 enctype="multipart/form-data"（设置表单的 MIME

编码）的表单数据。

mysql

Node.js 来连接 MySQL 专用库，并对数据库进行操作。

安装命令：

npm i express

npm i body-parser

npm i cookie-parser

npm i multer

npm i mysql

案例导入：

在js文件中创建一个sql.js，将端口创建为3000 

  1. //express_demo.js 文件
  2. var express = require('express');
  3. var app = express();
  5. app.get('/', function (req, res) {
  6.    res.send('Hello World');
  7. })
  9. var server = app.listen(3000, function () {
  11.   var host = server.address().address
  12.   var port = server.address().port
  14.   console.log("应用实例，访问地址为 http://%s:%s", host, port)
  16. })

使用node .\sql.js进行运行：

无法运行时需要安装express库。

npm i express (会得到node modules)

运行结果：（文字路径不能太多）

网页源代码：

只显示了Hello World，没有显示visual studio中的代码

看到结果是运行结果而不是源代码

功能实现-NodeJS-数据库&文件&执行

登录操作

1、Express 开发

2、实现用户登录

3、加入数据库操作

1.先创建一个sql.html:

  1. <!DOCTYPE html>
  2. <html lang="en">
  3. <head>
  4.   <meta charset="UTF-8">
  5.   <title>后台登录</title>
  6.   <style>
  7.     body {
  8.       background-color: #f1f1f1;
  9.     }
  10.     .login {
  11.       width: 400px;
  12.       margin: 100px auto;
  13.       background-color: #fff;
  14.       border-radius: 5px;
  15.       box-shadow: 0 0 10px rgba(0,0,0,0.3);
  16.       padding: 30apx;
  17.     }
  18.     .login h2 {
  19.       text-align: center;
  20.       font-size: 2em;
  21.       margin-bottom: 30px;
  22.     }
  23.     .login label {
  24.       display: block;
  25.       margin-bottom: 20px;
  26.       font-size: 1.2em;
  27.     }
  28.     .login input[type="text"], .login input[type="password"] {
  29.       width: 100%;
  30.       padding: 10px;
  31.       border: 1px solid #ccc;
  32.       border-radius: 5px;
  33.       font-size: 1.2em;
  34.       margin-bottom: 20px;
  35.     }
  36.     .login input[type="submit"] {
  37.       background-color: #2ecc71;
  38.       color: #fff;
  39.       border: none;
  40.       padding: 10px 20px;
  41.       border-radius: 5px;
  42.       font-size: 1.2em;
  43.       cursor: pointer;
  44.     }
  45.     .login input[type="submit"]:hover {
  46.       background-color: #27ae60;
  47.     }
  48.   </style>
  49. </head>
  50. <body>
  51. <div class="login" >
  52.   <h2>后台登录</h2>
  53.   <form action="http://127.0.0.1:3000/login" method="POST">
  54.     <label for="username">用户名:</label>
  55.     <input type="text" name="username" id="username" class="user" >
  56.     <label for="password">密码:</label>
  57.     <input type="password" name="password" id="password" class="pass" >
  58.   <button>登录</button>
  59.   </form>
  60. </div>

2.创建一个sql.js(覆盖掉之前那一个)

sql.js:

  1. const express= require('express');
  2. const app=express();
  4. //get路由
  5. app.get('/login',function(req,res){  //req访问，res结果
  6.   res.send('<hr>登录页面</hr>');
  7. })
  9. app.get('/',function(req,res){
  10.   //res.send('<hr>首页页面</hr>');
  11.   res.sendFile(__dirname+'/'+'sql.html');  //当前运行下的/sql.html（渲染为此页面）
  12. })
  14. const server = app.listen(3000,function(){
  15.   console.log('web的3000端口已启动!');
  16. })

运行结果：

以get路由来传参：

对sql.html进行修改：

  1. <div class="login" >
  2.   <h2>后台登录</h2>
  3.   <form action="http://127.0.0.1:3000/login" method="GET">
  4.     <label for="username">用户名:</label>
  5.     <input type="text" name="username" id="username" class="user" >
  6.     <label for="password">密码:</label>
  7.     <input type="password" name="password" id="password" class="pass" >
  8.   <button>登录</button>
  9.   </form>
  10. </div>

对sql.js进行修改：

  1. const express= require('express');
  2. const app=express();
  4. //get路由
  5. app.get('/login',function(req,res){
  6.   const u = req.query.username   //获取sql.html中的username
  7.   const p = req.query.password   //获取sql.html中的password
  8.   console.log(u);
  9.   console.log(p)
  10.   if(u == 'admin' && p == '123456'){
  11.     res.send("欢迎进入后台管理页面")
  12.   }else{
  13.     res.send('登录用户或密码错误！');
  14.   }
  15. })
  17. app.get('/',function(req,res){
  18.   //res.send('<hr>首页页面</hr>');
  19.   res.sendFile(__dirname+'/'+'sql.html');
  20. })
  22. const server = app.listen(3000,function(){
  23.   console.log('web的3000端口已启动!');
  24. })

运行结果：（使用console.log()来查看是否定义成功）

以post路由来传参：

修改后的sql.js:

  1. const express= require('express');
  2. const bodyParser = require('body-parser');
  3. const app=express();
  4. // 创建 application/x-www-form-urlencoded 编码解析
  5. var urlencodedParser = bodyParser.urlencoded({ extended: false })
  7. //get路由
  8. app.get('/login',function(req,res){
  9.   const u = req.query.username   //query适用于get
  10.   const p = req.query.password
  11.   console.log(u);
  12.   console.log(p)
  13.   if(u == 'admin' && p == '123456'){
  14.     res.send("欢迎进入后台管理页面")
  15.   }else{
  16.     res.send('登录用户或密码错误！');
  17.   }
  18. })
  20. //post路由
  21. app.post('/login',urlencodedParser,function(req,res){
  22.   const u = req.body.username;  //body适用于post
  23.   const p = req.body.password;
  24.   console.log(u);
  25.   console.log(p);
  26.   if(u == 'admin' && p == '123456'){
  27.     res.send("欢迎进入后台管理页面")
  28.   }else{
  29.     res.send('登录用户或密码错误！');
  30.   }
  31. })
  32. app.get('/',function(req,res){
  33.   //res.send('<hr>首页页面</hr>');
  34.   res.sendFile(__dirname+'/'+'sql.html');
  35. })
  37. const server = app.listen(3000,function(){
  38.   console.log('web的3000端口已启动!');
  39. })

在前面安装一个const bodyParser = require('body-parser');

在终端使用npm i body-parser安装库

使用：

// 创建 application/x-www-form-urlencoded 编码解析

var urlencodedParser = bodyParser.urlencoded({ extended: false })是为了使得在network里看到的数据username =111&password =111有一个规范的格式。

数据库管理：

数据库连接：

mysql连接代码：

  1. var connection = mysql.createConnection({
  2.   host     : 'localhost',
  3.   user     : 'root',
  4.   password : 'root',
  5.   database : 'demo01'
  6. });
  8. connection.connect();
  9. const sql = 'select * from admin ';
  10. console.log(sql);
  11. connection.query(sql,function(error,data){
  12.   if(error){
  13.       console.log('数据库连接失败！');
  14.   }
  15.       console.log(data);
  16. })

效果展示：

与数据库相同

数据库与登录逻辑结合：
  1. //post路由
  2. app.post('/login',urlencodedParser,function(req,res){
  3.   const u = req.body.username;
  4.   const p = req.body.password;
  5.   console.log(u);
  6.   console.log(p);
  7.   var connection = mysql.createConnection({
  8.       host     : 'localhost',
  9.       user     : 'root',
  10.       password : 'root',
  11.       database : 'demo01'
  12.   });
  14.   connection.connect();
  15.   const sql = 'select * from admin where username="'+u+'" and password="'+p+'"';  
  16.   console.log(sql);
  17.   connection.query(sql,function(error,data){
  18.       if(error){
  19.           console.log('数据库连接失败！');
  20.       }
  21.       try{  //报错测试
  22.           if(u==(data[0]['username']) && p==data[0]['password']){  
  23. //data[0]的意思是取第一行数据['username']是取里面的username值
  24.               res.send('欢迎进入后台管理页面');
  25.           }
  26.       }catch{
  27.           res.send('错误');
  28.       };
  29.     })
  30.   })
  32.   
  33. app.get('/',function(req,res){
  34.   //res.send('<hr>首页页面</hr>');
  35.   res.sendFile(__dirname+'/'+'sql.html');
  36. })
  38. const server = app.listen(3000,function(){
  39.   console.log('web的3000端口已启动!');
  40. })

效果展示：

使用永“真”语句注入的话，无论前面是什么都会全部回显。（or）

在页面注入：

测试下来后没有往后面运行：

证明前面的代码if(u==(data[0]['username']) && p==data[0]['password'])对其进行了过滤：

u==(data[0]['username']是用来判断键值是否相同，正常应该是数据库取出的行数进行判断，而不是data中取的值。

安全方法：

使用sql预编译进行写比较安全（secguide-main）

文件管理功能：

创建file.js：（记得npm i fs）

  1. const fs=require('fs');
  2. const express = require('express');
  3. const app = express();
  5. app.get('/file', function (req, res) {
  6.     const dir=req.query.dir;   //接受dir
  7.     console.log(dir);          //调试dir
  8.     filemanage(dir);           //执行dir
  9. })
  11. var server = app.listen(3000, function () {
  12.     console.log('web应用3000端口已启动!')
  13. })
  15. function filemanage(dir){
  16.     fs.readdir(dir,function(error,files){
  17.         console.log(files);
  18. })};

运行结果：使用node .\file.js（在网址后面加上/file？dir=）

命令执行功能：

文件操作

1、Express开发
2、实现自录读取
3、加入传参接受
一命令执行(RCE)
1、eval
2、exec & spawnSyn

创建一个rce.js:（npm i child_process）

  1. const rce=require('child_process');
  3. //nodejs 调用系统命令执行
  4. //rce.exec('notepad');
  5. //rce.spawnSync('calc');
  7. //nodejs 调用代码命令执行 把字符串当做代码解析
  8. eval('require("child_process").exec("calc");');

node.js判断：

安全问题-NodeJs-注入&RCE&原型链

1、SQL注入&文件操作
2、RCE执行&原型链污染
2、NodeJS黑盒无代码分析

实战测试NodeJs安全
判断:参考前期的信息收集

黑盒:通过对各种功能和参数进行payload测试

白盒:通过对代码中写法安全进行审计分析

原型链污染

如果攻击者控制·并修改了一个对象的原型，(proto)那么将可以影响所有和这个对象来自同一个类、父祖类的对象。

  1. // // foo是一个简单的JavaScript对象
  2. // let foo = {bar: 1} //解释：1=1 0 __proto__= x
  3. // // 原型链污染
  4. // // foo.bar 此时为1
  5. // console.log(foo.bar)
  7. // // 修改foo的原型（即Object）
  8. // foo.__proto__.bar = 'x'
  10. // // // 由于查找顺序的原因，foo.bar仍然是1
  11. // console.log(foo.bar)
  13. // // // 此时再用Object创建一个空的zoo对象
  14. // let zoo = {}
  16. // // 查看zoo.bar，此时bar为2
  17. // console.log(zoo.bar)
  19. let foo = {bar: 1};
  21. console.log(foo.bar);
  23. foo.__proto__.bar = 'require(\'child_process\').execSync(\'calc\');'
  25. console.log(foo.bar);
  27. let zoo = {};
  29. console.log(eval(zoo.bar));

运行结果：

案例分析-NodeJS-CTF题目&源码审计

1、CTFSHOW几个题日

https://ctfshow/Web334-344
https://f1veseven.github.io/2022/04/03/ctf-nodejs-zhi-yi-xie-xiao-zhi-shi/

CTFSHOW-334：

1.打开zip发现是pk开头：

证明是zip文件：使用winzip或者别的解压软件打开（Bandzip）：

打开后由login.js和user.js:

(引用文章：Ctfshow web入门 nodejs篇 web334-web344-阿里云开发者社区)

login.js:

  1. //login.js
  3. var express = require('express');              //引入各个模块
  4. var router = express.Router();
  5. var users = require('../modules/user').items;   //引入用户模块（user.js）
  6.  
  7. var findUser = function(name, password){          //定义函数
  8.   return users.find(function(item){
  9.     return name!=='CTFSHOW' && item.username === name.toUpperCase() && item.password === password;
  10.   });       //如果name不等于CTFSHOW，并且将name都转为大写与item.name（CTFSHOW）相同，password=123456。则findUser返回true  //toUpperCase()是javascript中将小写转换成大写的函数。
  11. };
  13. /* GET home page. */
  14. router.post('/', function(req, res, next) {                 //POST请求的处理函数
  15.   res.type('html');                                //设置响应（res）的内容类型为html
  16.   var flag='flag_here';
  17.   var sess = req.session;
  18.   var user = findUser(req.body.username, req.body.password);
  19.  
  20.   if(user){
  21.     req.session.regenerate(function(err) {
  22.       if(err){
  23.         return res.json({ret_code: 2, ret_msg: '登录失败'});        
  24.       }
  25.        
  26.       req.session.loginUser = user.username;
  27.       res.json({ret_code: 0, ret_msg: '登录成功',ret_flag:flag});   //登录成功返回flag
  28.     });
  29.   }else{
  30.     res.json({ret_code: 1, ret_msg: '账号或密码错误'});
  31.   }  
  32.   
  33. });
  35. module.exports = router;   //通过module.exports将该路由模块导出，以便在其他文件中引入和使用

user.js: 

  1. //user.js
  3. module.exports = {
  4.   items: [
  5.     {username: 'CTFSHOW', password: '123456'}
  6.   ]
  7. };
  9. //这段代码是一个模块文件，通过`module.exports`将一个对象导出。
  10. //在这个模块中，导出的对象是一个包含一个属性`items`的对象。`items`属性是一个数组，包含了一个用户对象。这个用户对象有两个属性：`username`表示用户名为"CTFSHOW"，`password`表示密码为"123456"。
  12. //通过这种方式，其他文件可以引入该模块并访问`items`数组中的用户对象，用于验证用户的登录信息。

突破点：

1.2 nodejs语言的缺点

1.2.1 大小写特性

toUpperCase()
toLowerCase()

对于toUpperCase(): 字符

  1. "ı"

、

  1. "ſ"

经过toUpperCase处理后结果为 

  1. "I"

、

  1. "S"

对于toLowerCase(): 字符

  1. "K"

经过toLowerCase处理后结果为

  1. "k"

(这个K不是K)

  1. var findUser = function(name, password){          //定义函数
  2.   return users.find(function(item){
  3.     return name!=='CTFSHOW' && item.username === name.toUpperCase() && item.password === password;
  4.   });       //如果name不等于CTFSHOW，并且将name都转为大写与item.name（CTFSHOW）相同，password=123456。则findUser返回true  //toUpperCase()是javascript中将小写转换成大写的函数。
  5. };

payload：

name：ctfshow

password：123456

result：


2、YApi管理平台漏洞
https://blog.csdn.net/weixin_42353842/article/details/127960229

开发指南-NodeJs-安全SecGuide项目：

https://github.com/Tencent/secguide

本文章由李豆豆喵和番薯小羊卷~共同完成。

标签： javascript 安全 express
本文转载自: https://blog.csdn.net/m0_74930529/article/details/144095283
版权归原作者 李豆豆喵 所有， 如有侵权，请联系我们删除。
登录后发布评论

“第30天：安全开发-JS 应用&NodeJS 指南&原型链污染&Express 框架&功能实现&审计0”的评论:

还没有评论
关于作者
...
overfit同步小助手
文章同步
相关阅读

网络安全法-网络运行安全

使用selenium/drissionpage时如何阻止chrome自动跳转http到https

docker desktop 里部署的Open WebUI 管理员密码忘记了的处理方法

在ubuntu20.04中搭建onsite比赛运行环境

利用开源的低代码表单设计器FcDesigner高效管理和渲染复杂表单结构

Kafka学习笔记

【前端】浏览器输入url到页面呈现发生了什么？