JavaScript静态分析

修改后，某人的卡被接受了。最后收到满意的邮件。感谢JavaScript。

整个练习过程中就只有一个变量，因此打印它。当js文件很多，代码量很大时，也只有打印它们。。

这样，我们就可以更好的发现与跟踪这个变量在不同的阶段中，它是否存在漏洞。

再回到练习的js文件中，我们修改一下源码，来观察每一次变化情况。将函数里面的代码提出来调试。

最后，不要忘记了正则表达式在手动搜索漏洞中的重要性。

这里用一个例子来举一反三。其他函数的索引可以参考一下备忘单：

https://raw.githubusercontent.com/Ph33rr/attack/main/Javascript/Javascript2.png

 可以通过，IDE phpstrom等 调试js代码。利用IDE插件里的代码质量与静态漏洞扫描等，检查js代码。这种方法更快更容易

库与框架

关于库与框架的介绍

https://3alam.pro/mnsor-alaatyby/articles/javascript-libraries-and-frameworks 收集有关使用的库和框架的信息

使用网站来收集是最简单的方式：

https://www.wappalyzer.com/ https://www.similartech.com/ 还有kali的whatweb，建议多用。

公共库检测版本poc

https://www.exploit-db.com/ https://snyk.io/vuln?type=any https://snyk.io/test/npm/jquery/1.11.2

查看项目中关于bug的讨论，这里面的内容都在告诉您怎么定位，排查。。全都有用。

https://github.com/jquery

代码质量分析与POC

https://rules.sonarsource.com/javascript/RSPEC-5696?search=xss

当我们一时半会儿找不到什么实例与场景时，可以来这里看看。

原型污染

创建最简单的对象。我们可以看到多个属性返回一些东西

var obj = {};

这些东西的完整列表可以在这里查看

https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Global_Objects/Object/prototype

要理解这一部分，我们需要查看 JavaScript 语言中的类是如何存在的。

JavaScript 中类的概念始于函数。函数本身充当类的构造函数

function MyClass() {   # 函数
}
var inst = new MyClass();   #类的构造

MyClass所有实例上可用的函数都在原型上声明。原型在运行时可以被修改。

MyClass.prototype.myFunction = function () { 
return 42; 
};
var inst = new MyClass(); 
var theAnswer = inst.myFunction();

属性访问

在 JavaScript 中，属性和实例函数之间没有区别。访问方式都一样。

两种访问方式：obj.a 和 obj["a"]


var obj = { “a” : 1, “b” : function() { return 41; } }; 

var name1 = “a”; 
obj.a // 1 
obj[“a”] // 1 
obj[name1] // 1 

var name2 = “b”; 
obj.b() // 41 
obj.b // function. 
obj[“b”] // function 
obj[name2] // function

魔术属性

对象原型上存在大量属性，这里探索两个。constructor构造函数 和__proto__.

构造函数是一个魔法属性，它返回创建对象的函数。在每个构造函数上都有一个属性“prototype”，它指向类的原型。

function MyClass() { 
}
MyClass.prototype.myFunc = function () { 
return 7; 
}

var inst = new MyClass(); 
inst.constructor // returns the function MyClass 
inst.constructor.prototype // returns the prototype of MyClass 
inst.constructor.prototype.myFunc() // returns 7

__proto__是一个魔法属性，它返回对象的类的“原型”。

这个属性在 JavaScript 语言中不是标准的，但它在 NodeJS 环境中完全支持。

这个属性是作为一个 getter/setter 属性实现的，它在读/写时调用 getPrototypeOf/setPrototypeOf。

为属性__proto__分配一个新值不会影响原型上定义的继承值。改变这种情况的唯一方法是使用 Object.defineProperty

function MyClass() { 
}
MyClass.prototype.myFunc = function () { 
return 7; 
}

var inst = new MyClass();
inst.__proto__ // returns the prototype of MyClass 
inst.__proto__.myFunc() // returns 7
inst.__proto__ = { “a” : “123” }; // changing the prototype at runtime.
inst.hasOwnProperty(“__proto__”) // false. We haven’t redefined the property. It’s still the original getter/setter magic property

识别易受攻击的库

攻击者至少可以控制以下形式的任何表达式的参数和value。

obj[a][b] = value obj[a][b][c] = value

攻击者将a设置为__proto__。其实就是属性的访问。__proto__.myFunc()这样放入同一个地方也行。

payload可以放入键或值中：

{“__proto__”:{“cookie”:”sess=fixedsessionid; garbage=”}}