最近发现公司测试在内网部署了YAPI,同事在对yapi进行测试过程中很快就发现了一个xss漏洞,于是自己也就动手审计起来,这是nodejs的代码,之前看过一篇相关的审计漏洞详情,发现nodejs对漏洞的审计主要还是着重于几个要点
- 文件操作类漏洞,诸如任意文件上传、文件读写漏洞等
- 命令、代码执行漏洞
- SQL注入漏洞
文件操作
首先,对于文件操作类漏洞,nodejs我就搜索require(‘fs‘)来追踪关键代码,整个yapi项目对于文件写入仅仅有两处地方,都位于控制器下的test.js文件
/** * 测试 单文件上传 * @interface /test/single/upload * @method POST * @returns {Object} * @example */ async testSingleUpload(ctx) { try { // let params = ctx.request.body; let req = ctx.req; let chunks = [], size = 0; req.on(‘data‘, function(chunk) { chunks.push(chunk); size += chunk.length; }); req.on(‘finish‘, function() { console.log(34343); }); req.on(‘end‘, function() { let data = new Buffer(size); for (let i = 0, pos = 0, l = chunks.length; i < l; i++) { let chunk = chunks[i]; chunk.copy(data, pos); pos += chunk.length; } fs.writeFileSync(path.join(yapi.WEBROOT_RUNTIME, ‘test.text‘), data, function(err) { return (ctx.body = yapi.commons.resReturn(null, 402, ‘写入失败‘)); }); }); ctx.body = yapi.commons.resReturn({ res: ‘上传成功‘ }); } catch (e) { ctx.body = yapi.commons.resReturn(null, 402, e.message); } } /** * 测试 文件上传 * @interface /test/files/upload * @method POST * @returns {Object} * @example */ async testFilesUpload(ctx) { try { let file = ctx.request.body.files.file; let newPath = path.join(yapi.WEBROOT_RUNTIME, ‘test.text‘); fs.renameSync(file.path, newPath); ctx.body = yapi.commons.resReturn({ res: ‘上传成功‘ }); } catch (e) { ctx.body = yapi.commons.resReturn(null, 402, e.message); } }
对于以上两个接口来说,一个是将临时文件直接写入到 yapi.WEBROOT_RUNTIME 目录下命名为 test.text,一个则是将临时文件移到该地方命名为test.text,两处代码近乎相似,对于我们来说没有办法控制文件名,通过控制文件名进行跨目录。但是这让我们有权限在yapi.WEBROOT_RUNTIME 目录下写入一个内容可控的文件以及temp目录下写入临时文件,也可能成为后面漏洞需要的步骤,所以记录了下来。
命令执行
对于命令执行,nodejs提供的require(
‘child_process‘
).exec可以用于访问系统命令,但是这在yapi中不被使用,作为测试工具,我们会发现yapi用上了vm来执行jscode,这个地方可以用来研究下,可能就会出现命令执行漏洞
首先utis中提供了一种方法来执行js代码,这个似乎用于自动化测试断言的
/** * 沙盒执行 js 代码 * @sandbox Object context * @script String script * @return sandbox * * @example let a = sandbox({a: 1}, ‘a=2‘) * a = {a: 2} */ exports.sandbox = (sandbox, script) => { const vm = require(‘vm‘); sandbox = sandbox || {}; script = new vm.Script(script); const context = new vm.createContext(sandbox); script.runInContext(context, { timeout: 3000 }); return sandbox;
在runCaseScript调用了它,但是为查阅资料发现sanbox启动的沙箱执行js不能引入危险的对象诸如fs来对系统进行任何操作,如果要通过这种方法进行命令执行,无非就是发现了js的命令执行漏洞。但是对于vm来说还存在一个问题就是带入的变量可能存在安全问题。
sandbox是外部环境要带入到沙盒中为沙盒执行js提供的变量,这个变量可以是一个require对象,也可以是其他上下文的变量,所以如果存在带入危险或者其他变量,则存在信息泄漏的可能,我们继续看看runCaseScript
exports.runCaseScript = async function runCaseScript(params, colId, interfaceId) { const colInst = yapi.getInst(interfaceColModel); let colData = await colInst.get(colId); const logs = []; const context = { assert: require(‘assert‘), status: params.response.status, body: params.response.body, header: params.response.header, records: params.records, params: params.params, log: msg => { logs.push(‘log: ‘ + convertString(msg)); } }; let result = {}; try { if(colData.checkHttpCodeIs200){ let status = +params.response.status; if(status !== 200){ throw (‘Http status code 不是 200,请检查(该规则来源于于 [测试集->通用规则配置] )‘) } } if(colData.checkResponseField.enable){ if(params.response.body[colData.checkResponseField.name] != colData.checkResponseField.value){ throw (`返回json ${colData.checkResponseField.name} 值不是${colData.checkResponseField.value},请检查(该规则来源于于 [测试集->通用规则配置] )`) } } if(colData.checkResponseSchema){ const interfaceInst = yapi.getInst(interfaceModel); let interfaceData = await interfaceInst.get(interfaceId); if(interfaceData.res_body_is_json_schema && interfaceData.res_body){ let schema = JSON.parse(interfaceData.res_body); let result = schemaValidator(schema, context.body) if(!result.valid){ throw (`返回Json 不符合 response 定义的数据结构,原因: ${result.message} 数据结构如下: ${JSON.stringify(schema,null,2)}`) } } } if(colData.checkScript.enable){ let globalScript = colData.checkScript.content; // script 是断言 if (globalScript) { logs.push(‘执行脚本:‘ + globalScript) result = yapi.commons.sandbox(context, globalScript); } } let script = params.script; // script 是断言 if (script) { logs.push(‘执行脚本:‘ + script) result = yapi.commons.sandbox(context, script); } result.logs = logs; return yapi.commons.resReturn(result); } catch (err) { logs.push(convertString(err)); result.logs = logs; logs.push(err.name + ‘: ‘ + err.message) return yapi.commons.resReturn(result, 400, err.name + ‘: ‘ + err.message); } };
context作为变量将被带入到沙盒中,一看params基本无解,这个变量是http请求参数的,代码可以追踪到interfacCol.js
async runCaseScript(ctx) { let params = ctx.request.body; ctx.body = await yapi.commons.runCaseScript(params, params.col_id, params.interface_id, this.getUid()); }
我们可以看到params就是request.body,所以并没有什么安全问题,带入以后也不会有什么信息泄漏,这个可以参考下koa2的文档
ctx.header ctx.headers ctx.method ctx.method= ctx.url ctx.url= ctx.originalUrl ctx.origin ctx.href ctx.path ctx.path= ctx.query ctx.query= ctx.querystring ctx.querystring= ctx.host ctx.hostname ctx.fresh ctx.stale ctx.socket ctx.protocol ctx.secure ctx.ip ctx.ips ctx.subdomains ctx.is() ctx.accepts() ctx.acceptsEncodings() ctx.acceptsCharsets() ctx.acceptsLanguages() ctx.get()
这些东西几乎都是我们自己传给服务器的,几乎不存在可以得到我们在常规情况下不能得到的信息,除了多重代理下xff头可能会泄漏的情况,几乎没有漏洞利用的空间。那么剩下的只有assert: require(‘assert‘)了,对于php来说assert可是可以执行命令的,但是似乎node.js不允许你这么做,所以这里暂且保留,也是一个风险点
mongodb注入
未完待续-。-