JavaScript 原型污染（Prototype Pollution）攻击与防御

好的，各位听众，观众，以及屏幕前的各位代码爱好者们，欢迎来到今天的“JavaScript 原型污染攻防战”特别节目！我是你们的老朋友，码农界的段子手——阿码。今天，我们将一起揭开一个潜伏在 JavaScript 世界里的“幽灵”——原型污染（Prototype Pollution）。

开场白：原型，JavaScript 的秘密武器

在开始我们的“攻防战”之前，我们先来聊聊 JavaScript 的原型。你可以把原型想象成一个“祖传秘方”，每个对象都可以从中继承一些特性和能力。这使得 JavaScript 具有了强大的灵活性和可扩展性。

但就像任何强大的武器一样，原型如果使用不当，也会带来严重的风险。这就是我们今天要讨论的原型污染。

第一回合：认识你的敌人——原型污染的原理

原型污染，顾名思义，就是指恶意修改 JavaScript 对象原型的行为。这意味着，攻击者可以通过修改原型，来影响所有基于该原型创建的对象。

简单来说，就是攻击者偷偷往你的“祖传秘方”里加了点“毒药”，然后所有继承了这个秘方的“子孙后代”都会受到影响。😱

举个例子，我们有一个简单的 JavaScript 对象：

let obj = {};

console.log(obj.toString); // function toString() { [native code] }

obj 对象本身并没有 toString 属性，但它继承自 Object.prototype。如果我们恶意修改 Object.prototype，会发生什么呢？

Object.prototype.hello = "世界你好！";

console.log(obj.hello); // 世界你好！

看到没？我们修改了 Object.prototype，导致所有对象都拥有了 hello 属性！这只是一个简单的例子，但如果攻击者修改的是一些关键属性，比如权限控制相关的属性，后果不堪设想。

原型污染的常见场景

那么，攻击者通常会在哪些场景下利用原型污染呢？

• 反序列化漏洞： 某些库在反序列化 JSON 数据时，可能会直接将数据赋值给对象，而没有进行严格的校验。如果 JSON 数据中包含了 __proto__、constructor 或 prototype 属性，攻击者就可以修改原型。
• 递归合并漏洞： 在递归合并对象时，如果没有对属性名进行过滤，攻击者可以通过构造特殊的 JSON 数据来修改原型。
• DOM Based XSS： 在某些情况下，攻击者可以通过操纵 URL 中的参数，来修改原型，从而触发 DOM Based XSS 漏洞。

第二回合：原型污染的攻击方式

攻击者通常会利用以下几种方式来修改原型：

• __proto__ 属性： 这是最常见的一种方式。__proto__ 属性可以直接访问对象的原型。

  obj.__proto__.isAdmin = true; // 危险！

• constructor 属性： constructor 属性指向创建对象的构造函数，而构造函数的 prototype 属性指向原型。

  obj.constructor.prototype.isAdmin = true; // 危险！

• prototype 属性： 直接修改构造函数的 prototype 属性。

  function User() {}
  User.prototype.isAdmin = true; // 危险！

攻击实例：利用反序列化漏洞

假设我们有一个简单的 Node.js 应用，使用了 lodash.merge 来合并 JSON 数据：

const express = require('express');
const bodyParser = require('body-parser');
const merge = require('lodash.merge');

const app = express();
app.use(bodyParser.json());

app.post('/api/profile', (req, res) => {
  const user = {
    name: '阿码',
    age: 18,
  };

  merge(user, req.body);

  console.log(user);
  res.json(user);
});

app.listen(3000, () => {
  console.log('Server listening on port 3000');
});

如果攻击者发送以下 JSON 数据：

{
  "__proto__": {
    "isAdmin": true
  }
}

那么，所有对象都会拥有 isAdmin 属性，并且值为 true！这可能会导致严重的权限问题。

第三回合：如何防御原型污染

既然我们知道了原型污染的原理和攻击方式，接下来就要学习如何保护我们的代码。

• 使用 Object.freeze() 冻结原型： 冻结原型后，就无法再修改原型。

  Object.freeze(Object.prototype); // 终极防御！

  但是，这种方式可能会影响一些依赖于修改原型的库，需要谨慎使用。

• 使用 Object.create(null) 创建没有原型的对象： 这种方式创建的对象不会继承任何属性，因此也无法被原型污染。

  const obj = Object.create(null);
  obj.name = '阿码';
  
  console.log(obj.toString); // undefined

• 使用 Map 或 Set 替代普通对象： Map 和 Set 不会继承原型，因此可以避免原型污染。

• 使用 Object.hasOwnProperty() 检查属性是否存在： 在访问对象的属性之前，先使用 hasOwnProperty() 检查属性是否是对象自身的属性，而不是原型链上的属性。

  if (obj.hasOwnProperty('isAdmin')) {
    // 处理 isAdmin 属性
  }

• 使用安全的库： 选择经过安全审计的库，避免使用存在原型污染漏洞的库。

• 输入验证和过滤： 对用户输入的数据进行严格的验证和过滤，避免恶意数据进入我们的代码。

• 禁用 __proto__ 属性： 在某些环境中，可以禁用 __proto__ 属性来防止原型污染。

防御矩阵：表格总结

为了更清晰地了解防御方法，我们用表格来总结一下：

防御方法	优点	缺点	适用场景
Object.freeze()	简单有效，可以完全阻止原型修改	可能会影响依赖于修改原型的库	对安全性要求极高的场景
Object.create(null)	创建没有原型的对象，彻底避免原型污染	无法使用原型链上的属性和方法	不需要继承原型属性的场景
Map 或 Set	不会继承原型，避免原型污染	与普通对象的使用方式不同	替代普通对象存储数据的场景
Object.hasOwnProperty()	检查属性是否是对象自身的属性，避免访问原型链上的属性	需要在每次访问属性之前进行检查，比较繁琐	需要访问对象属性的场景
安全的库	降低引入漏洞的风险	需要进行评估和选择	所有场景
输入验证和过滤	阻止恶意数据进入代码	需要进行全面的验证和过滤	所有接收用户输入的场景
禁用 __proto__	直接禁用 __proto__ 属性，防止原型污染	可能会影响一些依赖于 __proto__ 属性的代码	某些环境中，可以考虑禁用 __proto__ 属性

第四回合：实战演练——修复原型污染漏洞

让我们回到之前的 Node.js 应用，看看如何修复原型污染漏洞。

我们可以使用以下几种方法：

1. 使用 Object.create(null) 创建 user 对象：

   app.post('/api/profile', (req, res) => {
     const user = Object.create(null);
     user.name = '阿码';
     user.age = 18;
   
     Object.assign(user, req.body); // 使用 Object.assign 替代 lodash.merge
   
     console.log(user);
     res.json(user);
   });

   这样，user 对象就不会继承原型，从而避免了原型污染。同时，我们使用 Object.assign 替代了 lodash.merge，因为 lodash.merge 存在原型污染漏洞。

2. 过滤 req.body 中的 __proto__、constructor 和 prototype 属性：

   app.post('/api/profile', (req, res) => {
     const user = {
       name: '阿码',
       age: 18,
     };
   
     const sanitizedBody = {};
     for (const key in req.body) {
       if (key !== '__proto__' && key !== 'constructor' && key !== 'prototype') {
         sanitizedBody[key] = req.body[key];
       }
     }
   
     merge(user, sanitizedBody);
   
     console.log(user);
     res.json(user);
   });

   这种方法可以防止攻击者通过 __proto__、constructor 和 prototype 属性来修改原型。

总结：原型污染，防微杜渐

原型污染是一个隐蔽而危险的漏洞，它可能导致各种安全问题，包括权限绕过、XSS 攻击等。我们必须时刻保持警惕，采取有效的防御措施，才能保护我们的代码免受攻击。

记住，安全不是一蹴而就的，而是一个持续不断的过程。我们需要不断学习新的安全知识，更新我们的防御策略，才能在网络安全的世界里立于不败之地。

最后的忠告：

• 永远不要信任用户输入的数据。
• 选择经过安全审计的库。
• 定期进行安全漏洞扫描。
• 保持代码的更新。

希望今天的“JavaScript 原型污染攻防战”能帮助大家更好地理解原型污染的原理和防御方法。感谢大家的收听！下次再见！👋