攻防世界——wife_wife

拿到靶机先看是什么服务器和框架

发现是experss框架

那么用的环境就是node,js环境了

Express 是构建在 Node.js 之上的 Web 应用框架，两者是"框架与运行时环境"的关系。简单来说：Node.js 是地基，Express 是在这地基上建造的房屋框架。

用dirsearch扫描目录

发现也就只有一个登录和注册

并且这两个在一开始的页面都给了

尝试注册一个管理员账号

但我们发现如果要注册一个管理员账号要输入一个特定的code

随便输入一个就会失败

回头看看源代码

什么也没发现

随便注册一个账号进去看看

发现出现了flag

但是是错误的

抓取注册时的包看看

发现这里控制上传的环境就是js.node（JSON）

并且以数组的方式传入了4个参数{"username":"admin","password":"admin","isAdmin":true,"inviteCode":"123"}

随便注册一个账号然后抓取登录时的包

没有什么新东西

那如果我们不勾上is admin直接注册呢

发现显示已存在

但我们发现这里也显示是is admin 不过这次是false,

但同时也发现这里没有code认证

也许可以直接修改is admin 的值为ture能实现越权访问呢

修改is admin 的值为ture

发现和先前的一样

没提示了，那就得进行fuzz测试了

（在比赛的时候这里有个himt提示）

这里我测出这里可以进行原型链污染

当我们污染 proto.isAdmin 为 true 时便可获取管理员权限

注册一个新的账号

注入

{"proto":{"isAdmin":true}

便可越权登录

页面果然不一样了

CatCTF{test_flag_h0w_c@n_I_l1ve_w1th0ut_nilou}

最后扒出源代码分析一下

javascript 复制代码

// post请求的路径
app.post('/register', (req, res) => {
 
    let user = JSON.parse(req.body)  // 把我们输入的账号密码，从json字符串转成对象
 
    // 判断我们有没有输入账号和密码
    if (!user.username || !user.password) {  
        return res.json({ msg: 'empty username or password', err: true })
    }
    // 判断账号是否存在总对象的username里，如果相同的username就是重复用户名了
    if (users.filter(u => u.username == user.username).length) {  
        return res.json({ msg: 'username already exists', err: true })
    }
    // isAdmin是否true 与 邀请码是不是等于这个常量，所以sql注入没用，邀请码是个常量
    if (user.isAdmin && user.inviteCode != INVITE_CODE) {
        user.isAdmin = false
        return res.json({ msg: 'invalid invite code', err: true })
    }
 
    // 使用系统函数复制对象，打包成一个新的对象
    let newUser = Object.assign({}, baseUser, user)
    users.push(newUser)  // 存到总对象里
    res.json({ msg: 'user created successfully', err: false })  // 设置返回信息
})

这里用了一个Object.assign 函数

这个函数可以把传入的两个参数合并成一个新的函数，并且会修改原来的参数

举个例子

javascript 复制代码

const target = { a: 1, b: 2 };
const source = { b: 3, c: 4 };

const result = Object.assign(target, source);

console.log(result); 
// 输出: { a: 1, b: 3, c: 4 }
console.log(target === result); 
// 输出: true (修改了原始target对象)

工作机制：

• 将 source 的所有可枚举属性复制到 target

• b 属性被覆盖（从 2 变为 3）

• c 属性被新增 • 返回修改后的 target 对象本身（不是新对象）

javascript 复制代码

const target = { a: 1, b: 2 };
// 攻击者构造的恶意 source
const maliciousSource = JSON.parse('{"__proto__": {"isAdmin": true}}');

console.log("攻击前:", {}.isAdmin); // undefined - 没有被污染

// 执行合并 - 原型污染发生！
const result = Object.assign(target, maliciousSource);

console.log("合并后target:", result); 
// 输出: { a: 1, b: 2 } (注意：没有 isAdmin，也没有 __proto__ 属性)
console.log("污染检查1:", {}.isAdmin);   // true! Object.prototype 被污染
console.log("污染检查2:", [].isAdmin);   // true! Array.prototype 也被影响
console.log("污染检查3:", "test".isAdmin); // true! String 也受影响

当程序没有渲染isAdmin时是不会触发原型链污染，故原型链污染的一个前提是要能够渲染我们输入的参数

在三次检查中可以知道一旦污染成功便会存在于prototype属性中，即使新建一个对象也会包含我们输入的内容

对应到本题

javascript 复制代码

let newUser = Object.assign({}, baseUser, user)
    users.push(newUser)

并且从上面的源代码中我们可以知道

javascript 复制代码

 let user = JSON.parse(req.body)

在注册页面中传入的所有参数都会传入到user中

javascript 复制代码

if (user.isAdmin && user.inviteCode != INVITE_CODE) {
        user.isAdmin = false
        return res.json({ msg: 'invalid invite code', err: true })

nodejs通过post请求体来进行解析

当isAdmin返回为false时会登录失败

因此当我们污染 proto.isAdmin 为 true 时便可注册一个获取管理员权限的账号