更多全球网络安全资讯尽在邑安全前言文章的灵感来自于刚刚结束的 DefCamp CTF 2018 上的一道题目，主要的考点是 Node.js 的 prototype pollution attack。因为在 CTF 中 Node.js 的题型较少，同时本人也恰好对其比较感兴趣，所以特地来分析一下这道题的前因后果。题目题目是一个由 Node.js 编写的基于 socket.io 的聊天应用，运行在 https://chat.dctfq18.def.camp 的 80 端口上，我们可以从 https://dctf.def.camp/dctf-18-quals-81249812/chat.zip 下载源码客户端的代码非常简单，分析 client.js 我们可以发现其只是向服务端注册用户并发送消息：const io = require('socket.io-client')const socket = io.connect('https://chat.dctfq18.def.camp')if(process.argv.length != 4) { console.log('name and channel missing') process.exit()}console.log('Logging as ' + process.argv + ' on ' + process.argv)var inputUser = { name: process.argv,};socket.on('message', function(msg) { console.log(msg.from,"", "says:n", msg.message);});socket.on('error', function (err) { console.log('received socket error:') console.log(err)})socket.emit('register', JSON.stringify(inputUser));socket.emit('message', JSON.stringify({ msg: "hello" }));socket.emit('join', process.argv);//ps: you should keep your channels privatesocket.emit('message', JSON.stringify({ channel: process.argv, msg: "hello channel" }));socket.emit('message', JSON.stringify({ channel: "test", msg: "i own you" }));所以我们需要继续审计服务端的代码，可以看到 server.js 中存在着很一个敏感的函数 getAscii，在分析了其对应的代码后，可以发现其中存在着一个很明显的命令注入问题：getAscii: function(message) { var e = require('child_process'); return e.execSync("cowsay...
CTF专场
