> For the complete documentation index, see [llms.txt](https://hacktricks.xsx.tw/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacktricks.xsx.tw/pentesting-web/deserialization/nodejs-proto-prototype-pollution.md).
# NodeJS - \_\_proto\_\_ & prototype Pollution
从零开始学习AWS黑客技术htARTE（HackTricks AWS红队专家）！
支持HackTricks的其他方式：
* 如果您想看到您的**公司在HackTricks中做广告**或**下载PDF格式的HackTricks**，请查看[**订阅计划**](https://github.com/sponsors/carlospolop)!
* 获取[**官方PEASS & HackTricks周边产品**](https://peass.creator-spring.com)
* 探索[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)
* **加入** 💬 [**Discord群**](https://discord.gg/hRep4RUj7f) 或 [**电报群**](https://t.me/peass) 或 **关注**我们的**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
* 通过向[**HackTricks**](https://github.com/carlospolop/hacktricks)和[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github仓库提交PR来分享您的黑客技巧。
## JavaScript中的对象
JavaScript中的对象本质上是键值对的集合，称为属性。可以使用`Object.create`方法并将`null`作为参数来创建一个空对象。这种方法允许创建一个没有任何继承属性的对象。
```javascript
// Run this in the developers tools console
console.log(Object.create(null)); // This will output an empty object.
```
### JavaScript中的函数和类
在JavaScript中，类和函数密切相关，函数经常充当类的构造函数。尽管JavaScript缺乏原生类支持，但构造函数可以模拟类的行为。
```javascript
// Run this in the developers tools console
function Employee(name, position) {
this.name = name;
this.position = position;
this.introduce = function() {
return "My name is " + this.name + " and I work as a " + this.position + ".";
}
}
Employee.prototype
var employee1 = new Employee("Generic Employee", "Developer");
employee1.__proto__
```
### JavaScript中的原型
JavaScript允许在运行时修改、添加或删除原型属性。这种灵活性使得可以动态扩展类的功能。
`toString`和`valueOf`等函数可以被修改以改变它们的行为，展示了JavaScript原型系统的适应性。
## 继承
在基于原型的编程中，属性/方法是从类中的对象继承的。这些类是通过将属性/方法添加到另一个类的实例或空对象中创建的。
值得注意的是，当将属性添加到充当其他对象原型的对象（如`myPersonObj`）时，继承对象就可以访问这个新属性。然而，除非显式调用，否则这个属性不会自动显示。
## \_\_proto\_\_污染
## 探索JavaScript中的原型污染
JavaScript对象由键值对定义，并从JavaScript对象原型继承。这意味着修改Object原型可能会影响环境中的所有对象。
让我们使用一个不同的示例来说明：
```javascript
function Vehicle(model) {
this.model = model;
}
var car1 = new Vehicle("Tesla Model S");
```
可以通过以下方式访问对象原型：
```javascript
car1.__proto__.__proto__;
Vehicle.__proto__.__proto__;
```
通过向Object原型添加属性，每个JavaScript对象都将继承这些新属性：
```javascript
function Vehicle(model) {
this.model = model;
}
var car1 = new Vehicle("Tesla Model S");
// Adding a method to the Object prototype
car1.__proto__.__proto__.announce = function() { console.log("Beep beep!"); };
car1.announce(); // Outputs "Beep beep!"
// Adding a property to the Object prototype
car1.__proto__.__proto__.isVehicle = true;
console.log(car1.isVehicle); // Outputs true
```
## 原型污染
对于限制了 `__proto__` 使用的情况，修改函数的原型是一种替代方法：
```javascript
function Vehicle(model) {
this.model = model;
}
var car1 = new Vehicle("Tesla Model S");
// Adding properties to the Vehicle prototype
Vehicle.prototype.beep = function() { console.log("Beep beep!"); };
car1.beep(); // Now works and outputs "Beep beep!"
Vehicle.prototype.hasWheels = true;
console.log(car1.hasWheels); // Outputs true
// Alternate method
car1.constructor.prototype.honk = function() { console.log("Honk!"); };
car1.constructor.prototype.isElectric = true;
```
这仅影响从`Vehicle`构造函数创建的对象，为它们提供`beep`、`hasWheels`、`honk`和`isElectric`属性。
全局影响JavaScript对象的两种方法包括：
1. 直接污染`Object.prototype`：
```javascript
Object.prototype.goodbye = function() { console.log("Goodbye!"); };
```
2. 污染常用结构的构造函数原型：
```javascript
var example = {"key": "value"};
example.constructor.prototype.greet = function() { console.log("Hello!"); };
```
## 污染其他对象
### 从类到Object.prototype
在一个场景中，您可以**污染特定对象**并且需要**访问`Object.prototype`**，您可以使用类似以下代码进行搜索：
```javascript
// From https://blog.huli.tw/2022/05/02/en/intigriti-revenge-challenge-author-writeup/
// Search from "window" object
for(let key of Object.getOwnPropertyNames(window)) {
if (window[key]?.constructor.prototype === Object.prototype) {
console.log(key)
}
}
// Imagine that the original object was document.querySelector('a')
// With this code you could find some attributes to get the object "window" from that one
for(let key1 in document.querySelector('a')) {
for(let key2 in document.querySelector('a')[key1]) {
if (document.querySelector('a')[key1][key2] === window) {
console.log(key1 + "." + key2)
}
}
}
```
### 数组元素污染
请注意，正如您可以污染JS对象的属性一样，如果您可以污染一个数组，您也可以**污染可以通过索引访问的数组的值**（请注意，您无法覆盖值，因此您需要污染某种方式使用但未写入的索引）。
```javascript
c = [1,2]
a = []
a.constructor.prototype[1] = "yolo"
b = []
b[0] //undefined
b[1] //"yolo"
c[1] // 2 -- not
```
### Html元素污染
在通过JS生成HTML元素时，可以**覆盖** **`innerHTML`** 属性，使其编写**任意HTML代码。** [灵感和示例来自此文章](https://blog.huli.tw/2022/04/25/en/intigriti-0422-xss-challenge-author-writeup/)。
{% code overflow="wrap" %}
```javascript
// Create element
devSettings["root"] = document.createElement('main')
// Pollute innerHTML
settings[root][innerHTML]=<"svg onload=alert(1)>"
// Pollute innerHTML of the ownerProperty to avoid overwrites of innerHTML killing the payload
settings[root][ownerDocument][body][innerHTML]="