يمنع الكلمة وينسى الكائن

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

الهاكر الآن يمنع {{ ويمنع أيضا الكلمة secret في مدخلك لكن كائن config كله في سياق القالب وقيمته السرية جزء منه

ما الذي تراه أمامك

نفس بوابة الترحيب لكن الفلتر يمنع القوسين المزدوجين والكلمة secret معا لكن السر ما زال داخل كائن config في السياق فيمكن سحب الكائن كله دون ذكر الكلمة الممنوعة

الهدف

اقرأ السر دون كتابة كلمة secret ودون استخدام {{

متى يعتبر محلولا

تجاوزت منع الكلمة بعرض الكائن الأب وقرأت السر

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

جرب ذكر الكلمة الممنوعة ولاحظ الرفض
تذكر أن السر قيمة داخل كائن أكبر
اعرض الكائن الأب كاملا دون ذكر الكلمة
اقرأ السر من الكائن المعروض

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

منع كلمة في المدخل لا يحمي القيمة فالوصول إليها عبر الكائن الأب أو بصيغة أخرى يتجاوز المنع وفي محركات حقيقية يستغل SSTI للوصول إلى كائنات عامة وتنفيذ شيفرة كاملة الحل: لا تبن القالب من مدخل المستخدم ولا تضع أسرارا في سياق القالب وشغل العرض في بيئة معزولة بأقل صلاحية

السبب الجذري

منع كلمة ومحدد لا يمنع الوصول للبيانات الحساسة ما دامت في السياق فسحب الكائن الأب يكشفها الجذر لصق المدخل في القالب ووجود السر في سياق العرض

كيف يصلح الكود

لا تضع أسرارا في سياق القالب أصلا ومنع الكلمات لا يحمي الكائن الذي يحويها

الكود المصاب

const name = req.body.name;
if (name.includes('{{') || name.includes('secret')) return bad(); // word blacklist
engine.render('Hello ' + name, { config }); // secret sits in the context

الكود الآمن

// Input as data; no secret in the template context; sandboxed render.
engine.render('Hello {{ name }}', { name: req.body.name });

الأثر في الواقع

سحب كائنات السياق تقنية معروفة لتجاوز فلاتر الكلمات وتسريب الأسرار في حقن القوالب

كيف يكتشفها المدافعون

المدافع يبقي الأسرار خارج سياق العرض ولا يعالج قوالب من المدخل ويرصد محاولات سحب كائنات السياق

العودة إلى الدرس