nodejs——原型链污染

'# Node.js——原型链污染

一、背景与问题

在JavaScript中，原型链是对象继承的核心机制。通过原型链，对象可以访问其祖先对象的属性和方法。然而，这种机制也带来了潜在的安全风险——原型链污染（Prototype Pollution）。攻击者可以通过修改对象的原型链，使所有实例共享恶意属性，从而破坏程序逻辑。

原型链污染漏洞通常出现在使用第三方库（如lodash的cloneDeep）时。这些库在克隆对象时，如果没有正确处理原型链，可能会被利用来注入恶意属性。

典型攻击场景

攻击者通过构造特殊输入，修改对象的原型链，使所有实例继承恶意属性。例如：

// 攻击代码
Object.assign({}, { __proto__: { admin: true } });

这段代码会将admin属性注入到Object.prototype中，所有对象都会继承这个属性。

二、基本原理

1. 原型链结构

JavaScript对象通过原型链继承属性。例如：

const obj = { a: 1 };
console.log(obj.a); // 1
console.log(obj.hasOwnProperty('a')); // true
console.log(obj.__proto__.hasOwnProperty('a')); // false

当访问obj.a时，JavaScript引擎会沿着原型链查找属性，直到null。

2. 原型链污染的触发条件

攻击者需要满足以下条件才能成功污染原型链：

1. 可以控制对象的构造过程（如通过用户输入）
2. 能够修改对象的原型链（如通过__proto__或Object.prototype）
3. 被攻击代码未对输入进行安全校验

3. 攻击路径

攻击者构造恶意输入，利用库函数（如_.cloneDeep）的漏洞，修改原型链：

const _ = require('lodash');
const payload = { __proto__: { isAdmin: true } };
const cloned = _.cloneDeep(payload);

此时，cloned对象会继承isAdmin属性，所有对象都会受到影响。

三、环境准备

1. 安装依赖

npm install lodash

2. 测试环境

确保使用Node.js 14+版本，因为较新的版本对原型链污染有部分防御机制。

四、核心实现

1. 原型链污染攻击示例

// 攻击代码
const _ = require('lodash');

// 构造恶意输入
const payload = { 
  __proto__: { 
    isAdmin: true, 
    secretKey: '123456' 
  } 
};

// 使用lodash的cloneDeep函数
const cloned = _.cloneDeep(payload);

// 检查污染结果
console.log(cloned.isAdmin); // true
console.log(cloned.secretKey); // '123456'

关键代码解释：

• __proto__属性是Object.prototype的快捷访问方式
• _.cloneDeep在克隆时未正确处理原型链，导致恶意属性注入
• 攻击者通过构造包含__proto__的输入，成功污染原型链

2. 原型链污染防御示例

// 防御代码
const _ = require('lodash');

// 构造恶意输入
const payload = { 
  __proto__: { 
    isAdmin: true, 
    secretKey: '123456' 
  } 
};

// 使用JSON.stringify处理输入
const safePayload = JSON.stringify(payload);
const cloned = JSON.parse(safePayload);

// 检查污染结果
console.log(cloned.isAdmin); // undefined
console.log(cloned.secretKey); // undefined

关键代码解释：

• JSON.stringify会将__proto__属性转换为字符串，避免注入
• JSON.parse在解析时不会还原__proto__属性
• 这种方法适用于需要严格控制输入的场景

3. 原型链污染利用示例

// 利用代码
const _ = require('lodash');

// 构造恶意输入
const payload = { 
  __proto__: { 
    isAdmin: true, 
    secretKey: '123456' 
  } 
};

// 模拟业务逻辑
function checkAuth(user) {
  const cloned = _.cloneDeep(user);
  if (cloned.isAdmin) {
    console.log('Admin access granted');
  }
}

checkAuth(payload);

关键代码解释：

• 攻击者通过构造payload对象，利用_.cloneDeep污染原型链
• checkAuth函数在未校验输入的情况下，导致isAdmin属性被注入
• 最终获得未授权的管理员权限

五、完整案例

1. 模拟用户认证系统

// 用户认证系统
const express = require('express');
const _ = require('lodash');
const app = express();

app.post('/login', (req, res) => {
  const user = req.body;
  
  // 模拟认证逻辑
  const clonedUser = _.cloneDeep(user);
  
  if (clonedUser.isAdmin) {
    res.send('Admin access granted');
  } else {
    res.send('User access granted');
  }
});

app.listen(3000, () => {
  console.log('Server running on port 3000');
});

2. 攻击测试

// 攻击代码
const axios = require('axios');

axios.post('http://localhost:3000/login', {
  __proto__: { 
    isAdmin: true, 
    secretKey: '123456' 
  }
})
.then(res => {
  console.log(res.data); // "Admin access granted"
});

3. 防御方案

// 防御代码
app.post('/login', (req, res) => {
  const user = req.body;
  
  // 使用JSON.stringify处理输入
  const safeUser = JSON.stringify(user);
  const parsedUser = JSON.parse(safeUser);
  
  // 模拟认证逻辑
  const clonedUser = _.cloneDeep(parsedUser);
  
  if (clonedUser.isAdmin) {
    res.send('Admin access granted');
  } else {
    res.send('User access granted');
  }
});

六、源码解析

1. lodash.cloneDeep源码分析

function cloneDeep(value) {
  return baseClone(value, false, undefined, true);
}

function baseClone(value, isDeep, isRef, isArguments) {
  // ...其他逻辑
  if (isDeep) {
    // 原型链处理逻辑
    if (isArguments && value.length) {
      return baseCloneArray(value, isDeep);
    }
    if (isRef) {
      return value;
    }
    if (isArguments) {
      return baseCloneArray(value, isDeep);
    }
    // ...其他处理
  }
}

关键点：

• baseClone函数负责处理深拷贝
• 如果未正确处理原型链，__proto__属性可能被注入
• 通过isRef参数控制是否保留引用

2. 原型链污染利用原理

// 原型链污染利用
const obj = { a: 1 };
const payload = { __proto__: { b: 2 } };
const cloned = _.cloneDeep(payload);

console.log(obj.b); // 2（因为原型链被污染）

关键点：

• payload对象的__proto__属性被注入到Object.prototype
• obj对象继承了b属性
• 这种污染会影响整个程序的运行时环境

七、进阶使用

1. 原型链污染检测工具

// 检测原型链污染
function isPrototypePolluted(obj) {
  const originalProto = Object.getPrototypeOf(obj);
  const cloned = _.cloneDeep(obj);
  
  return Object.getPrototypeOf(cloned) !== originalProto;
}

2. 安全的克隆方法

// 安全克隆方法
function safeClone(value) {
  return JSON.parse(JSON.stringify(value));
}

3. 原型链污染防御策略

八、性能与工程实践

1. 性能分析

2. 安全实践

• 输入验证：对用户输入进行严格校验
• 白名单机制：只允许特定字段通过
• 安全库更新：及时升级依赖库
• 沙箱环境：在隔离环境中处理不可信输入

3. 异常处理

try {
  const safeUser = JSON.parse(JSON.stringify(user));
} catch (e) {
  console.error('Invalid input:', e.message);
}

九、常见问题与踩坑

1. 常见错误

2. 典型错误示例

// 错误代码
const user = { __proto__: { isAdmin: true } };
const cloned = _.cloneDeep(user);

问题： 直接使用第三方库未做任何安全处理
修复： 添加输入校验和安全克隆

3. 踩坑案例

// 错误代码
const user = { __proto__: { isAdmin: true } };
const cloned = _.cloneDeep(user);
console.log(cloned.isAdmin); // true

问题： 未意识到原型链污染的影响
修复： 使用JSON.stringify处理输入

十、最佳实践

1. 安全开发建议

• 禁用__proto__访问：通过Object.defineProperty限制属性访问
• 使用安全的克隆方法：优先使用JSON.stringify替代第三方库
• 严格校验输入：对所有用户输入进行白名单校验
• 定期更新依赖：保持第三方库版本最新

2. 代码安全规范

十一、总结

原型链污染是JavaScript中严重的安全漏洞，其核心在于对象原型链的可篡改性。通过合理使用JSON.stringify和JSON.parse，可以有效防御此类攻击。在实际开发中，应始终遵循以下原则：

1. 输入校验：对所有用户输入进行严格校验
2. 安全克隆：优先使用安全的克隆方法
3. 依赖管理：保持依赖库版本最新
4. 性能平衡：在安全性和性能之间找到平衡点

通过深入理解原型链污染的原理和防御方法，开发者可以构建更安全、更可靠的Node.js应用。在安全敏感的场景中，始终采取防御性编程，避免潜在的攻击风险。