攻城肾透shi | sv3nbeast

0x01 背景

之前举行过的云资产的演练又开始了，目前拥有目标某设备的老版本前台RCE漏洞，但本次因某些原因不允许使用此漏洞，所以入口点需要重新找，准备找个新洞，记录nodejs审计过程如下

0x02 审计

1.前期过程

首先我的想法是寻找那种简单的命令注入漏洞，因为之前的洞就蛮简单的，我做了如下操作，目的是定位调用了命令执行函数的路由文件

grep -rl "child_process" --include=\*.js .

然后首先看的是ping功能，很简单的定义路由，接参，然后传入命令执行函数中，但发现存在正则过滤，由于正则我都是现记现忘，重新看了下，写死了\d限制了其他字符，所以漏洞不存在

接着过了一遍筛选出来的所有存在命令注入函数的路由，没发现能用的，有的看着代码是存在漏洞但是当用在目标网站上是不存在漏洞的，推测是目标更新了版本进行修复漏洞（这里还没有去跟踪各个函数调用链深挖）

随即又搜了下nodejs的文章知道了还可以寻找代码执行漏洞，也就是eval函数，eval参数可控时直接进行导入命令执行进行调用就行

http://localhost:3000/?abc=require('child_process').execSync('open -a Calculator.app', { encoding: 'utf8' })

grep大法之故技重施，实际就有2个route文件存在eval，当然别的文件也是耗费精力看了但没东西，就不讲了，后续在反推eval函数代码执行的调用链中同时找到一个命令注入漏洞

grep -rl "eval" --include=\*.js .

2.代码执行

然后就是发现的漏洞从eval函数反推调用链路及传参的伤脑细胞过程，调用链中较为重要的函数调用过程如下，函数里嵌套的其他一些函数就不写了

  +-----------------------------------------------------------------+
  | router.post('/generatorRuleMap', function (req, res)             |
  +-----------------------------------------------------------------+
                              |
                              V
  +-----------------------------------------------------------------+
  | execGetNostructureNodeAndLinks(NodeSet, startTime, ... , cb)     |
  +-----------------------------------------------------------------+
                              |
                              V
  +-----------------------------------------------------------------+
  | getRelationNodeandLinks(resultSet, relationMap, ... , cb)        |
  +-----------------------------------------------------------------+
                              |
                              V
  +-----------------------------------------------------------------+
  | getNodevalueBynodeType(row, nodeType, regex, index, cb)          |
  +-----------------------------------------------------------------+
                              |
                              V
  +-----------------------------------------------------------------+
  | getRegexPattern(srcMessage, pattern, index)                      |
  +-----------------------------------------------------------------+

2.1 getRegexPattern()

此为最终调用eval的函数，没有限制，直接将接收的参数传入eval函数，payload参数名为pattern

2.2 getNodevalueBynodeType()

此函数为当nodeType!=1时进入目标函数，payload参数名为regex

2.3 getRelationNodeandLinks()

此函数需要使relationMap!=1进入目标函数，payload参数名为relationMap.srcRegex，是键的值

2.4 execGetNostructureNodeAndLinks()

此函数需要满足3个条件进入目标函数，payload参数名为relationShips => relation

outPutFieldsArray.length > 1
存在/usr/local/las/program/neo4j/structure.csv文件
fileSize != 0

2.5 router.post

此函数需要满足5个条件才能进入目标函数

能够根据_id查出结果docs
docrelation == 0
服务器为linux
indexArray.length > 0
获得相应的splitrelationsBystructure()函数返回

payload参数名依次变化如下，并且可知我们控制的参数是用来控制查询的id，而不是直接传入exp，所以还需要找到id对应的值是插入到数据库的过程

      req.body._id   //获得请求参数
           ↓
          s_id     //对请求参数进行了过滤，防止出现sql注入
           ↓
   docs.relationships   //查询结果的键
           ↓
       relations   //查询结果的键
           ↓
resultRelation.noStructure   //经splitrelationsBystructure函数处理后返回的键
           ↓
  noStructureRelations   //经splitrelationsBystructure函数处理后返回的键