文章目录原型链污染漏洞 Prototype PollutionJavaScript语言的对象继承机制。防御方法扩展阅读原型链污染漏洞 Prototype Pollution原型污染Prototype Pollution是一种针对 JavaScript 运行时的注入攻击手法。攻击者利用该漏洞能够篡改对象属性的默认值从而干扰应用程序的正常业务逻辑最终可能引发拒绝服务攻击DoS或远程代码执行RCE等严重安全风险。下面是一个原型污染漏洞的示例functionmerge(target,source){for(letkeyinsource){console.log(source,key)if(keyinsourcekeyintarget){console.log(key,key)merge(target[key],source[key])}else{console.log(key,key)target[key]source[key]}}}leto1{}leto2JSON.parse({a: 1, __proto__: {b: 2}})console.log(o2)merge(o1,o2)console.log(o1.a,o1.b)//1 2o3{}console.log(o3.b)//2在该示例中merge函数存在原型污染漏洞。攻击者通过构造o2对象将__proto__作为一个属性键key传入merge函数导致o1的__proto__字段被改写从而为其原型链添加了属性b: 2。由于__proto__指向Object.prototype所有继承该原型的对象如后续创建的o3都会自动拥有这个被注入的属性b。这个过程就是原型链被污染的过程。原型污染漏洞的根源在于 JavaScript 语言独特的对象继承机制以及其对象属性的公开性。JavaScript语言的对象继承机制。与 Java 语言通过类实现代码封装不同JavaScript 语言中没有“类”的概念。函数、对象等数据结构都继承自原型对象 Object。每个对象实例都有两个特殊属性prototype和__proto__。其中__proto__属性指向该对象实例的原型对象即它继承自哪个对象而prototype属性则指向原型对象的构造方法。当访问一个对象的属性时如果在该对象实例本身没有找到该属性JavaScript 引擎就会通过__proto__属性沿着原型链向上查找依次在它的原型对象中搜索直到查找到最底层的Object对象其__proto__属性为null。因此JavaScript 对象的属性查找过程形成了一条原型继承链。在上面的示例中执行过代码之后如果查看o3的原型那么就会看到Object对象被添加了b属性。console.log(o3.__proto__)// [Object: null prototype] { b: 2 }因所有对象都继承自原型对象Object那么后续创建的其他对象也会具有b属性consto4function(){};classo5extendso4{};console.log(o4.b)//2console.log(o5.b)//2此过程中原型链Prototype Chain如下o5.proto-- Function: o4.proto-- {}.proto-- Object:null防御方法避免直接操作proto或原型对proto或 constructor 进行过滤。// 安全做法避免动态设置 __proto__functionsafeMerge(target,source){for(constkeyinsource){if(key__proto__||keyconstructor){continue;// 忽略敏感属性}target[key]source[key];}}使用 Object.create(null) 创建无原型对象这种方法创建的对象不继承Object.prototypeconstsafeObjObject.create(null);// 无原型链safeObj.nameSafe;console.log(safeObj.toString);// undefined无法访问 Object.prototype 的方法冻结原型对象// 冻结 Object.prototypeObject.freeze(Object.prototype);// 尝试污染原型会失败严格模式下报错Object.prototype.isAdmintrue;console.log(Object.prototype.isAdmin);// undefined安全处理对象合并操作在合并对象属性时过滤敏感键如proto、constructor、prototype。functionsafeAssign(target,source){Object.keys(source).forEach(key{if(keyinObject.prototype)return;// 忽略原型上的键target[key]source[key];});}使用 Map 替代普通对象constmapnewMap();map.set(isAdmin,true);console.log(map.get(isAdmin));// trueconsole.log(map.isAdmin);// undefined无法通过原型链污染使用安全的第三方库避免手写不安全的对象操作选择经过安全审计的库如 Lodash 的 _.merge 默认过滤原型键。onst _require(lodash);constsafeObj_.merge({},maliciousPayload);// 自动忽略 __proto__启用严格模式Strict Mode关键点严格模式下修改只读属性如冻结后的原型会抛出错误。use strict;Object.prototype.isAdmintrue;// 报错Cannot add property isAdminSchema validation of JSON inputNPM 上有多个库例如 ajv为 JSON 数据提供了模式验证功能。可以在 JSON Schema 规则中添加additionalProperties: false来禁止额外的属性。结合最开始的例子关键代码let o2 JSON.parse({a: 1, __proto__: {b: 2}})之所以使用JSON.parse()的方式构造对象是因为如果直接写作o2 {a: 1, __proto__: {b: 2}}会把o2的__proto__直接赋值为{b: 2}而不是在o2指向的原型对象中添加属性。通过 JSON Schema 验证模式可以阻断这种绕过过程防止恶意属性的添加。扩展阅读[1] JS应用安全漏洞利用详解从原型链污染到全栈RCE[2] Prototype pollution[3] 什么是原型污染如何防止原型污染
