Lodash严重安全漏洞背后：你不得不知道的JavaScript知识

作者 | Lucas HC

来源 | https://zhuanlan.zhihu.com/p/73186974

可能有信息敏感的同学已经了解到&＃xff1a;Lodash 库爆出严重安全漏洞&＃xff0c;波及 400万&＃43; 项目。这个漏洞使得 lodash “连夜”发版以解决潜在问题&＃xff0c;并强烈建议开发者升级版本。

我们在忙着“看热闹”或者“”升级版本”的同时&＃xff0c;静下心来想&＃xff1a;真的有理解这个漏洞产生的原因&＃xff0c;明白漏洞修复背后的原理了吗&＃xff1f;

这篇短文将从原理层面分析这一事件&＃xff0c;相信“小白”读者会有所收获。

漏洞原因

其实漏洞很简单&＃xff0c;举一个例子&＃xff1a;lodash 中 defaultsDeep 方法

_.defaultsDeep({ &＃39;a&＃39;: { &＃39;b&＃39;: 2 } }, { &＃39;a&＃39;: { &＃39;b&＃39;: 1, &＃39;c&＃39;: 3 } })

输出&＃xff1a;

{ &＃39;a&＃39;: { &＃39;b&＃39;: 2, &＃39;c&＃39;: 3 } }

如上例&＃xff0c;该方法&＃xff1a;

分配来源对象&＃xff08;该方法的第二个参数&＃xff09;的可枚举属性到目标对象&＃xff08;该方法的第一个参数&＃xff09;所有解析为 undefined 的属性上

这样的操作存在的隐患&＃xff1a;

const payload &＃61; &＃39;{"constructor": {"prototype": {"toString": true}}}&＃39;_.defaultsDeep({}, JSON.parse(payload))

如此一来&＃xff0c;就触发了原型污染。原型污染是指&＃xff1a;

攻击者通过某种手段修改 Javascript 对象的原型&＃xff08;prototype&＃xff09;

对应上例&＃xff0c;Object.prototype.toString 就会非常不安全了。

详解原型污染

理解原型污染&＃xff0c;需要读者理解 Javascript 当中的原型、原型链的知识。我们先来看一个例子&＃xff1a;

// person 是一个简单的 Javascript 对象let person &＃61; {name: &＃39;lucas&＃39;}
// 输出 lucas
console.log(person.name)
// 修改 person 的原型
person.__proto__.name &＃61; &＃39;messi&＃39;
// 由于原型链顺序查找的原因&＃xff0c;person.name 仍然是 lucas
console.log(person.name)
// 再创建一个空的 person2 对象
let person2 &＃61; {}
// 查看 person2.name&＃xff0c;输出 messi
console.log(person2.name)

把危害扩大化&＃xff1a;

let person &＃61; {name: &＃39;lucas&＃39;}console.log(person.name)person.__proto__.toString &＃61; () &＃61;> {alert(&＃39;evil&＃39;)}console.log(person.name)let person2 &＃61; {}console.log(person2.toString())

这段代码执行将会 alert 出 evil 文字。同时 Object.prototype.toString 这个方法会在隐式转换以及类型判断中经常被用到&＃xff1a;

Object.prototype.toString 方法返回一个表示该对象的字符串

每个对象都有一个 toString() 方法&＃xff0c;当该对象被表示为一个文本值时&＃xff0c;或者一个对象以预期的字符串方式引用时自动调用。

默认情况下&＃xff0c;toString() 方法被每个 Object 对象继承。

如果此方法在自定义对象中未被覆盖&＃xff0c;toString() 返回 [object type]&＃xff0c;其中 type 是对象的类型。

如果 Object 原型上的 toString 被污染&＃xff0c;后果可想而知。以此为例&＃xff0c;可见 lodash 这次漏洞算是比较严重了。

再谈原型污染&＃xff08;NodeJS 漏洞案例&＃xff09;

由上分析&＃xff0c;我们知道原型污染并不是什么新鲜的漏洞&＃xff0c;它“随时可见”&＃xff0c;“随处可见”。在 Nullcon HackIM 比赛中就有一个类似的 hack 题目&＃xff1a;

&＃39;use strict&＃39;;const express &＃61; require(&＃39;express&＃39;);
const bodyParser &＃61; require(&＃39;body-parser&＃39;)const COOKIEParser &＃61; require(&＃39;COOKIE-parser&＃39;);const path &＃61; require(&＃39;path&＃39;);const isObject &＃61; obj &＃61;> obj && obj.constructor && obj.constructor &＃61;&＃61;&＃61; Object;function merge(a, b) { for (var attr in b) { if (isObject(a[attr]) && isObject(b[attr])) { merge(a[attr], b[attr]); } else { a[attr] &＃61; b[attr]; } } return a}function clone(a) { return merge({}, a);}
// Constantsconst PORT &＃61; 8080;const HOST &＃61; &＃39;0.0.0.0&＃39;;const admin &＃61; {};
// Appconst app &＃61; express();
app.use(bodyParser.json())app.use(COOKIEParser());app.use(&＃39;/&＃39;, express.static(path.join(__dirname, &＃39;views&＃39;)));app.post(&＃39;/signup&＃39;, (req, res) &＃61;> { var body &＃61; JSON.parse(JSON.stringify(req.body)); var copybody &＃61; clone(body) if (copybody.name) { res.COOKIE(&＃39;name&＃39;, copybody.name).json({ "done": "COOKIE set" }); } else { res.json({ "error": "COOKIE not set" }) }});app.get(&＃39;/getFlag&＃39;, (req, res) &＃61;> { var аdmin &＃61; JSON.parse(JSON.stringify(req.COOKIEs)) if (admin.аdmin &＃61;&＃61; 1) { res.send("hackim19{}"); } else { res.send("You are not authorized"); }});app.listen(PORT, HOST);console.log(&＃96;Running on http://${HOST}:${PORT}&＃96;);

这段代码的漏洞就在于 merge 函数上&＃xff0c;我们可以这样攻击&＃xff1a;

curl -vv --header &＃39;Content-type: application/json&＃39; -d &＃39;{"__proto__": {"admin": 1}}&＃39; &＃39;http://0.0.0.0:4000/signup&＃39;; curl -vv &＃39;http://0.0.0.0:4000/getFlag&＃39;

首先请求 /signup 接口&＃xff0c;在 NodeJS 服务中&＃xff0c;我们调用了有漏洞的 merge 方法&＃xff0c;并通过 proto 为 Object.prototype&＃xff08;因为 {}.proto &＃61;&＃61;&＃61; Object.prototype&＃xff09; 添加上一个新的属性 admin&＃xff0c;且值为 1。

再次请求 getFlag 接口&＃xff0c;条件语句 admin.аdmin &＃61;&＃61; 1 为 true&＃xff0c;服务被攻击。

攻击案例出自&＃xff1a;Prototype pollution attacks in NodeJS applications

这样的漏洞在 jQuery $.extend 中也经常见到&＃xff1a;

• jQuery 修复原型污染 PR&＃xff1a;https://github.com/jquery/jquery/pull/4333

• jQuery prototype pollution vulnerability&＃xff1a;https://snyk.io/blog/after-three-years-of-silence-a-new-jquery-prototype-pollution-vulnerability-emerges-once-again/

对于 jQuery&＃xff1a;如果担心安全问题&＃xff0c;建议升级至最新版本 jQuery 3.4.0&＃xff0c;如果还在使用 jQuery 的 1.x 和 2.x 版本&＃xff0c;那么你的应用程序和网站仍有可能遭受攻击。

防范原型污染

了解了漏洞潜在问题以及攻击手段&＃xff0c;那么如何防范呢&＃xff1f;

在 lodash “连夜”发版的修复中&＃xff1a;

我们可以清晰的看到&＃xff0c;在遍历 merge 时&＃xff0c;当遇见 constructor 以及 proto 敏感属性&＃xff0c;则退出程序。

那么作为业务开发者&＃xff0c;我们需要注意些什么&＃xff0c;防止攻击出现呢&＃xff1f;总结一下有&＃xff1a;

冻结 Object.prototype&＃xff0c;使原型不能扩充属性

我们可以采用 Object.freeze 达到目的&＃xff1a;

Object.freeze() 方法可以冻结一个对象。一个被冻结的对象再也不能被修改&＃xff1b;冻结了一个对象则不能向这个对象添加新的属性&＃xff0c;不能删除已有属性&＃xff0c;不能修改该对象已有属性的可枚举性、可配置性、可写性&＃xff0c;以及不能修改已有属性的值。此外&＃xff0c;冻结一个对象后该对象的原型也不能被修改。freeze() 返回和传入的参数相同的对象。

看代码&＃xff1a;

Object.freeze(Object.prototype);Object.prototype.toString &＃61; &＃39;evil&＃39;consoel.log(Object.prototype.toString)ƒ toString() { [native code] }

对比&＃xff1a;

Object.prototype.toString &＃61; &＃39;evil&＃39;console.log(Object.prototype.toString)"evil"

• 建立 JSON schema在解析用户输入内容是&＃xff0c;通过 JSON schema 过滤敏感键名。

• 规避不安全的递归性合并这一点类似 lodash 修复手段&＃xff0c;完善了合并操作的安全性&＃xff0c;对敏感键名跳过处理

• 使用无原型对象,在创建对象时&＃xff0c;不采用字面量方式&＃xff0c;而是使用 Object.create(null)&＃xff1a;

  
  

Object.create()方法创建一个新对象&＃xff0c;使用现有的对象来提供新创建的对象的proto

Object.create(null) 的返回值不会链接到 Object.prototype&＃xff1a;

let foo &＃61; Object.create(null)
console.log(foo.__proto__)
// undefined

这样一来&＃xff0c;无论如何扩充对象&＃xff0c;都不会干扰到原型了。

采用新的 Map 数据类型&＃xff0c;代替 Object 类型

Map 对象保存键/值对&＃xff0c;是键/值对的集合。任何值&＃xff08;对象或者原始值&＃xff09;都可以作为一个键或一个值。使用 Map 数据结构&＃xff0c;不会存在 Object 原型污染状况。

这里总结一下 Map 和 Object 不同点&＃xff1a;&＃xff1a;

• Object 的键只支持 String 或者 Symbols 两种类型&＃xff0c;Map 的键可以是任意值&＃xff0c;包括函数、对象、基本类型

• Map 中的键值是有序的&＃xff0c;而 Object 中的键则不是

• 具体 API 上的差异&＃xff1a;比如&＃xff0c;通过 size 属性直接获取一个 Map 的键值对个数&＃xff0c;而 Object 的键值无法获取&＃xff1b;再比如迭代一个 Map 和 Object 差异也比较明显

• Map 在频繁增删键值对的场景下会有些性能优势

补充&＃xff1a;V8&＃xff0c;chromium 的小机灵

同样存在风险的是我们常用的 JSON.parse 方法&＃xff0c;但是如果你运行&＃xff1a;

JSON.parse(&＃39;{ "a":1, "__proto__": { "b": 2 }}&＃39;)

你会发现返回的结果如图&＃xff1a;

复写 Object.prototype 失败了&＃xff0c;proto 属性还是我们熟悉的那个有安全感的 __proto__ 。这是因为&＃xff1a;

V8 ignores keys named proto in JSON.parse

这个相关讨论 Doug Crockford&＃xff0c;Brendan Eich&＃xff0c;反正 chromium 和 JS 发明人讨论过很多次。相关 issue 和 PR&＃xff1a;

• chromium 讨论

• chromium 讨论

相关 ES 语言设计的讨论&＃xff1a;ES 语言设计的讨论&＃xff1a;proto-and-json

在上面链接中&＃xff0c;你能发现 Javascript 发明人等一众大佬哦&＃xff5e;

总之你可以记住&＃xff0c;V8 默认使用 JSON.parse 时候会忽略 proto&＃xff0c;原因当然是之前分析的安全性了。

总结

通过分析 lodash 的漏洞&＃xff0c;以及解决方案&＃xff0c;我们了解了原型污染的方方面面。涉及到的知识点包括但不限于&＃xff1a;

• Object 原型

• 原型、原型链

• NodeJS 相关问题

• Object.create 方法

• Object.freeze 方法

• Map 数据结构

• 深拷贝

• 以及其他问题

这么来看&＃xff0c;全是基础知识。也正是基础&＃xff0c;构成了前端知识体系的方方面面。