Penetrazione e Sicurezza in JavaScript

ATTACCO

Supponi di essere un utente malintenzionato dello script. Vuoi inviare una somma di denaro a un address non incluso in validAddresses.

Un attacco frontale è ovviamente bloccato.

Connector({ address: 'malicious' })
// L'indirizzo malicious non è valido. Quelli validi sono: partner-account, investments, mutual

Ricorda, mentre impersoni l’hacker non sei a conoscenza dell’implementazione del codice!

È possibile inviare un address valido e contare il numero di volte in cui vi si accede. In questo modo puoi capire quando è il momento giusto per - ZAC! - trasformarlo nell’indirizzo malicious!

Costruisci una sonda:

let i = 0
const probe = {
  get address() {
    console.count('sonda')
    return 'investments'
  },
}

const c = Connector(probe)
// sonda: 1
// sonda: 2
// sonda: 3
// sonda: 4
// Connessione all'indirizzo [investments] stabilita

c.transfer(300)
// sonda: 5

È chiaro. Basta cambiare la quinta lettura di address; la sua validità è verificata nelle quattro letture precedenti. È possibile farlo usando la tecnica del Doppio Getter.

let i = 0
const doubleGetter = {
  get address() {
    if (++i === 5) return 'malicious'
    return 'investments'
  },
}

const c = Connector(doubleGetter)
// Connessione all'indirizzo [investments] stabilita

c.transfer(300)
// Trasferito un importo di [300] all'indirizzo [malicious]

Grazie a questa tecnica hai effettivamente bypassato le guardie della fase di inizializzazione.

DIFESA

Il problema è che si accede ripetutamente ad address. Anche due volte sarebbero troppe. Ma se fosse solo una, i Doppi Getter non potrebbero ingannare le guardie.

Per accedere ad address una sola volta, basta copiarlo in una variabile. Poiché è una string, è un primitivo - la nuova variabile è una copia separata, senza il getter.

In ES6 puoi usare il destructuring:

function Connector({ address }) { ... }

Esegui la sonda e vedrai che effettivamente suona una sola volta. La minaccia del Doppio Getter è neutralizzata.

ATTACCO

Devi trovare un modo per infiltrarti nel codice. Ma hanno alzato le mura - abbiamo bisogno di un infiltrato, qualcuno dall’interno che per un momento, solo un momento, finga di non vedere.

La funzione includes è il tuo uomo. Corromperla è semplice:

const includesBackup = Array.prototype.includes

// corrompila...
Array.prototype.includes = () => true

const c = Connector({ address: 'malicious' })
// Connessione all'indirizzo [malicious] stabilita

// ...e subito dopo tutto torna alla normalità
Array.prototype.includes = includesBackup

c.transfer(300)
// Trasferito un importo di [300] all'indirizzo [malicious]

Solo durante la fase di inizializzazione, includes restituirà true indiscriminatamente. La guardia validAddresses.includes(address) è di fatto accecata e l’indirizzo malicious può entrare arrogantemente dalla porta principale.

DIFESA

Si tira su un muro intorno a Connector, ovvero un block scope. All’interno di questo, vuoi avere la tua copia di Array.prototype.includes che non sia corruttibile dall’esterno e usare solo quella.

{
  const safeIncludes = Array.prototype.includes

  function Connector({ address }) {
    const validAddresses = ['partner-account', 'investments', 'mutual']

    ...

    const isValidAddress = safeIncludes.bind(validAddresses)
    if (!isValidAddress(address)) _err2(address, validAddresses)

    ...
  }

  global.Connector = Connector // window se nel browser
}

Lo stesso trucco che abbiamo usato prima questa volta non funzionerà e verrà lanciato l’errore _err2.

ATTACCO

Con un po’ di astuzia è possibile corrompere il supervisore di includes. Si tratta di bind. Consiglio di tenere una copia della funzione corrotta per rimettere le cose a posto non appena commesso il reato.

const includesBackup = Array.prototype.includes
const bindBackup = Function.prototype.bind

Array.prototype.includes = () => true
Function.prototype.bind = () => () => true

const c = Connector({ address: 'malicious' })
// Connessione all'indirizzo [malicious] stabilita

Array.prototype.includes = includesBackup
Function.prototype.bind = bindBackup

c.transfer(300)
// Trasferito un importo di [300] all'indirizzo [malicious]

Ancora una volta, sei riuscito a eludere le guardie.