框架解构

First Post:

Last Update:

安全无止境，继续前进吧！

再坚固的土石解构，也有它的弱点；
看似坚不可摧的巨像力大无穷，却挡不住源石法术；
网络框架也是如此，钻研框架底层是很有必要的；
不管你是想优化它，还是想“利用”它。
–By Mudrock

Node.js

Node.js是经典的JavaScript语言框架，用于执行前端项目中的JavaScript代码；

命令执行

由危险函数引起的代码执行漏洞；
和PHP一样，如果传递到函数中的参数可控并且没有经过严格的过滤时，就会导致漏洞的出现；

eval()

在nodejs中，eval()方法用于计算字符串，并把它作为脚本代码来执行，语法为”eval(string)”；如果参数不是字符串，而是整数或者是Function类型，则直接返回该整数或Function；

1
?eval=require("child_process").execSync('ls')

原型链污染

攻击者通过修改对象的原型链，影响所有继承该原型的子对象；

防护措施

  1. 避免使用不安全的函数
    如eval()，尽量使用安全的替代方案；

  2. 严格过滤和验证用户输入
    确保所有输入都经过严格的验证和过滤；

  3. 及时更新依赖库
    确保使用最新版本的依赖库，修复已知漏洞；

Jwt

Token验证框架，用于实现身份认证；

Yii

Larave

ThinkPHP

<- To be continued _(:3 ∠)__

  く__,.ヘヽ.        /  ,ー､ 〉
           ＼ ', !-─‐-i  /  /´
           ／｀ｰ'       L/／｀ヽ､
         /   ／,   /|   ,   ,       ',
       ｲ   / /-‐/  ｉ  L_ ﾊ ヽ!   i
        ﾚ ﾍ 7ｲ｀ﾄ   ﾚ'ｧ-ﾄ､!ハ|   |
          !,/7 '0'     ´0iソ|    |
          |.从"    _     ,,,, / |./    |
          ﾚ'| i＞.､,,__  _,.イ /   .i   |
            ﾚ'| | / k_７_/ﾚ'ヽ,  ﾊ.  |
              | |/i 〈|/   i  ,.ﾍ |  i  |
             .|/ /  ｉ：    ﾍ!    ＼  |
              kヽ>､ﾊ    _,.ﾍ､    /､!
              !'〈//｀Ｔ´', ＼ ｀'7'ｰr'
              ﾚ'ヽL__|___i,___,ンﾚ|ノ
                  ﾄ-,/  |___./
                  'ｰ'    !_,.:
≡