最近 Node.js
团队在官方文档上公布了一份最新的安全实践,解读了一些 Node.js
服务下一些常见的攻击场景以及预防手段,我们一起来看看吧!
计时攻击可能会让攻击者获取到一些潜在的敏感信息,例如,测量应用程序响应请求所需的时间。这种攻击并不是特定于 Node.js
的,几乎可以针对所有运行时。
我们的程序代码中可能会存在一些时间段敏感的操作,比如我们需要校验一个用户的密码是否正确。
我们可能会从数据库检索出来的用户信息中比较密码。对于相同的长度值,使用内置字符串比较可能需要更长的时间。这种比较在以可接受的数量运行时会增加请求的响应时间。通过比较请求响应时间,攻击者可以在大量请求中猜测密码的长度和值。
crypto API
crypto API
提供了一个 timingSafeEqual
函数,当你需要进行比较的值比较敏感时,它可一采用恒定时间算法进行比较。crypto
模块上提供的 scrypt
(https://nodejs.org/api/crypto.html#cryptoscryptpassword-salt-keylen-options-callback)。JavaScript
编写恒定时间的代码还是很困难的,对于加密应用程序,推荐使用内置的加密 API 或 WebAssembly
。目前,在 Node.js
中,任何包都可以访问网络、文件系统,他们可以将任何数据发送到任何地方。
所有运行在 Node.js
进程中的代码都能够通过使用 eval()
加载和运行额外的任意代码。所有具有文件系统写访问权限的代码都可以通过写入加载的新文件或现有文件来实现相同的目的。
Node.js
有一个实验性的 策略机制
(https://nodejs.org/api/permissions.html#policies) 来声明加载的资源是否是不受信任的。
我们应该确保使用通用工作流或 npm script
固定依赖版本、自动检查漏洞。在安装依赖包之前,请确保这个还是在维护的并包含你期望的所有内容。注意,Github
源代码并不总是与发布的包相同,最好在 node_modules
中验证一下。
供应链攻击一般指控制上游包的攻击者可以发布包含恶意代码的新版本。如果我们的 Node.js
应用程序依赖于这个包,而没有严格确定哪个版本可以安全使用,则该包可以自动更新到最新的恶意版本,从而危及应用程序。
供应链攻击攻击最近在 Node.js
的依赖生态中频发发生,比如前段时间的 node-ipc
,针对俄罗斯和白俄罗斯 IP
,会尝试覆盖当前目录、父目录和根目录的所有文件,把所有内容替换成 ❤。
这主要还是因为
Node.js
生态对依赖项的规范过于松懈了,比如允许不需要的更新,我们可能悄无声息的在某一次上线中为我们的程序带来了巨大的危机。
虽然我们可以在 package.json
中指定依赖项确切的版本号或范围,但这只能保证直接依赖的固定,我们仍然无法保障间接依赖的不确定性更新。
防止 npm
使用 ——ignore-scripts
执行任意脚本
可以使用 npm config set ignore-scripts true
全局禁用它
将 lock
文件将依赖版本固定到特定的不可变版本,而不是一个范围(当然后续要手动定期更新)
将 npm audit
引入 CI 流程,自动检查漏洞
诸如 Socket
之类的工具可以用来分析带有静态分析的包,以发现诸如网络或文件系统访问之类的风险行为
使用 npm ci
代替 npm install
,这将强制执行 lockfile
,避免它与 package.json
文件之间的不一致会导致错误
仔细检查 package.json
文件中依赖项名称中的错误/错别字。
基于内存或基于堆的攻击取决于代码中的内存管理错误和可利用的内存分配器的组合。与所有运行时一样,如果项目运行在共享的机器上,Node.js
很容易受到这些攻击。使用 secure heap
有助于防止由于指针溢出和不足而导致敏感信息泄漏。
但是,secure heap
在 Windows
上不可用,更多信息可以看这个文档:https://nodejs.org/dist/latest-v18.x/docs/api/cli.html#--secure-heap
——secure-heap=n
,其中 n
是分配的最大字节大小;猴子补丁指的是为了改变现有的行为在运行时修改属性,比如:
// eslint-disable-next-line no-extend-native
Array.prototype.push = function (item) {
// overriding the global [].push
};
--frozen-intrinsics
标志可以启用实验性的 冻结内置函数
,启用后所有内置的 JavaScript
对象和函数都被递归冻结。下面的代码片段不会覆盖 Array.prototype.push
的默认行为
// eslint-disable-next-line no-extend-native
Array.prototype.push = function (item) {
// overriding the global [].push
};
// Uncaught:
// TypeError <Object <Object <[Object: null prototype] {}>>>:
// Cannot assign to read only property 'push' of object ''
但需要注意的是,你仍然可以使用 globalThis
定义新的全局变量并替换现有的全局变量:
> globalThis.foo = 3; foo; // you can still define new globals
3
> globalThis.Array = 4; Array; // However, you can also replace existing globals
4
Object.freeze(globalThis)
可用于保证不会替换任何全局变量。
原型污染是指通过滥用 _proto_、 constructor、prototype
和其他从内置原型继承的其他属性来修改或将属性注入 JavaScript
语言项的攻击,这是一种继承自 JavaScript
语言的潜在漏洞。
比如下面的代码,一个外部传入的数据可能会影响到我们整个 Node.js
服务的 Object
对象的默认行为:
const a = {"a": 1, "b": 2};
const data = JSON.parse('{"__proto__": { "polluted": true}}');
const c = Object.assign({}, a, data);
console.log(c.polluted); // true
// Potential DoS
const data2 = JSON.parse('{"__proto__": null}');
const d = Object.assign(a, data2);
d.hasOwnProperty('b'); // Uncaught TypeError: d.hasOwnProperty is not a function
JSON
模式验证Object.create(null)
创建没有原型的对象Object.freeze(MyObject.prototype)
冻结原型--disable-proto
标志禁用 Object.prototype.__proto__
属性Object.hasOwn(obj, keyFromObj)
Object.prototype
中的方法。Node.js
按照模块解析算法(https://nodejs.org/api/modules.html#modules_all_together)加载模块。因此,它默认假定请求(require
)模块的目录是受信任的。
也就是说,这意味着以下应用程序行为是预期的。假设有以下目录结构:
app/
server.js
auth.js
auth
如果 server.js
使用 require('./auth')
,它将遵循模块解析算法并加载 auth
而不是 auth.js
。
具有完整性检查的实验性策略机制(https://nodejs.org/api/permissions.html#integrity-checks)可以避免上述威胁。对于上述目录,可以使用以下 policy.json
{
"resources": {
"./app/auth.js": {
"integrity": "sha256-iuGZ6SFVFpMuHUcJciQTIKpIyaQVigMZlvg9Lx66HV8="
},
"./app/server.js": {
"dependencies": {
"./auth" : "./app/auth.js"
},
"integrity": "sha256-NPtLCQ0ntPPWgfVEgX46ryTNpdvTWdQPoZO3kHo0bKI="
}
}
}
当引入 auth
模块时,系统将验证完整性,如果与预期的不匹配则抛出错误。
» node --experimental-policy=policy.json app/server.js
node:internal/policy/sri:65
throw new ERR_SRI_PARSE(str, str[prevIndex], prevIndex);
^
SyntaxError [ERR_SRI_PARSE]: Subresource Integrity string "sha256-iuGZ6SFVFpMuHUcJciQTIKpIyaQVigMZlvg9Lx66HV8=%" had an unexpected "%" at position 51
at new NodeError (node:internal/errors:393:5)
at Object.parse (node:internal/policy/sri:65:13)
at processEntry (node:internal/policy/manifest:581:38)
at Manifest.assertIntegrity (node:internal/policy/manifest:588:32)
at Module._compile (node:internal/modules/cjs/loader:1119:21)
at Module._extensions..js (node:internal/modules/cjs/loader:1213:10)
at Module.load (node:internal/modules/cjs/loader:1037:32)
at Module._load (node:internal/modules/cjs/loader:878:12)
at Module.require (node:internal/modules/cjs/loader:1061:19)
at require (node:internal/modules/cjs/helpers:99:18) {
code: 'ERR_SRI_PARSE'
}
注意:始终建议使用 --policy-integrity
来避免策略突变。
这是一种涉及两个 HTTP
服务器(通常是代理服务和Node.js
应用服务)的攻击。客户端发送 HTTP
请求,这个请求首先通过前端服务器(代理),然后重定向到后端服务器(应用程序)。当前端和后端对模糊的 HTTP
请求的解释不同时,攻击者就有可能发送前端看不到但后端会看到的恶意消息,有效地通过代理服务器进行了 “走私” 。
通俗地理解就是:攻击者发送一个语句模糊的请求,就有可能被解析为两个不同的
HTTP
请求,第二请求可能会 “逃过” 正常的安全设备的检测,使攻击者可以绕过安全控制,未经授权访问敏感数据并直接危害其他应用程序用户。
由于这种攻击产生的根本原因是
Node.js
与另一个HTTP
服务器解释 HTTP 请求的方式不同,我们可以认为它是Node.js
、前端服务器两者的漏洞 。如果Node.js
解释请求的方式是符合HTTP
规范(https://datatracker.ietf.org/doc/html/rfc7230#section-3
)的,那么它就不被认为是Node.js
中的漏洞。
HTTP
服务器时,不要使用 insecureHTTPParser
选项;HTTP
请求走私漏洞;HTTP/2
端到端并尽可能禁用 HTTP
降级。很多时候,由于我们错误的代码逻辑或者错误的配置可能会导致 HTTP 服务无法访问,参考下面的代码:
const net = require('net');
const server = net.createServer(function(socket) {
// socket.on('error', console.error) // this prevents the server to crash
socket.write('Echo server\r\n');
socket.pipe(socket);
});
server.listen(5000, '0.0.0.0');
我们的 WebServer
没有正确的处理 Socket
错误,当发送的请求量过大时,我们的服务就会崩溃。
Node.js
应用程序。反向代理可以提供缓存、负载平衡、IP 黑名单等功能,从而降低 DoS
攻击生效的可能性;headersTimeout、requestTimeout timeout keepAliveTimeout
;Socket
总数,可以参考 http
中的 agent.maxSockets、agent.maxTotalSockets、agent.maxFreeSockets、server.maxRequestsPerSocket
这是一种针对在使用 --inspect
(https://nodejs.org/en/docs/guides/debugging-getting-started/) 启用调试检查器的情况下运行的 Node.js
应用程序的攻击。
由于在 Web
浏览器中打开的网站可以发出 WebSocket
和 HTTP
请求,它们可以针对本地运行的调试检查器。这通常会被现代浏览器实施的同源策略所阻止,这个策略会禁止脚本访问来自不同来源的资源(意味着恶意网站无法读取从本地 IP 地址请求的数据)。
但是,通过
DNS
重绑定,攻击者可以暂时控制其请求的来源,使它们看起来像是来自本地 IP
地址。这是通过控制网站和用于解析其 IP
地址的 DNS
服务器来完成的。详细可以了解:https://en.wikipedia.org/wiki/DNS_rebinding
process.on(‘SIGUSR1’, …)
侦听器来禁用 SIGUSR1
信号上的检查器inspector
协议在包发布期间,包含在当前目录中的所有文件和文件夹都会被推送到 npm
注册表中,如果我们的开发目录中包含了一些敏感信息,它们都会被泄露出去。
我们可以通过用 .npmignore
和 .gitignore
定义一个阻止列表或者在 package.json
中定义一个 allowlist
来控制这种行为
npm publish——dry-run
列出所有要发布的文件,确保在发布包之前进行检查;.gitignore
和 .npmignore
这样的忽略文件也很重要。在这些文件中,你可以指定不应该发布哪些文件/文件夹;参考:https://nodejs.org/en/docs/guides/security/
本文由哈喽比特于1年以前收录,如有侵权请联系我们。
文章来源:https://mp.weixin.qq.com/s/2CBGgtja04NnOerpKfk0Ug
京东创始人刘强东和其妻子章泽天最近成为了互联网舆论关注的焦点。有关他们“移民美国”和在美国购买豪宅的传言在互联网上广泛传播。然而,京东官方通过微博发言人发布的消息澄清了这些传言,称这些言论纯属虚假信息和蓄意捏造。
日前,据博主“@超能数码君老周”爆料,国内三大运营商中国移动、中国电信和中国联通预计将集体采购百万台规模的华为Mate60系列手机。
据报道,荷兰半导体设备公司ASML正看到美国对华遏制政策的负面影响。阿斯麦(ASML)CEO彼得·温宁克在一档电视节目中分享了他对中国大陆问题以及该公司面临的出口管制和保护主义的看法。彼得曾在多个场合表达了他对出口管制以及中荷经济关系的担忧。
今年早些时候,抖音悄然上线了一款名为“青桃”的 App,Slogan 为“看见你的热爱”,根据应用介绍可知,“青桃”是一个属于年轻人的兴趣知识视频平台,由抖音官方出品的中长视频关联版本,整体风格有些类似B站。
日前,威马汽车首席数据官梅松林转发了一份“世界各国地区拥车率排行榜”,同时,他发文表示:中国汽车普及率低于非洲国家尼日利亚,每百户家庭仅17户有车。意大利世界排名第一,每十户中九户有车。
近日,一项新的研究发现,维生素 C 和 E 等抗氧化剂会激活一种机制,刺激癌症肿瘤中新血管的生长,帮助它们生长和扩散。
据媒体援引消息人士报道,苹果公司正在测试使用3D打印技术来生产其智能手表的钢质底盘。消息传出后,3D系统一度大涨超10%,不过截至周三收盘,该股涨幅回落至2%以内。
9月2日,坐拥千万粉丝的网红主播“秀才”账号被封禁,在社交媒体平台上引发热议。平台相关负责人表示,“秀才”账号违反平台相关规定,已封禁。据知情人士透露,秀才近期被举报存在违法行为,这可能是他被封禁的部分原因。据悉,“秀才”年龄39岁,是安徽省亳州市蒙城县人,抖音网红,粉丝数量超1200万。他曾被称为“中老年...
9月3日消息,亚马逊的一些股东,包括持有该公司股票的一家养老基金,日前对亚马逊、其创始人贝索斯和其董事会提起诉讼,指控他们在为 Project Kuiper 卫星星座项目购买发射服务时“违反了信义义务”。
据消息,为推广自家应用,苹果现推出了一个名为“Apps by Apple”的网站,展示了苹果为旗下产品(如 iPhone、iPad、Apple Watch、Mac 和 Apple TV)开发的各种应用程序。
特斯拉本周在美国大幅下调Model S和X售价,引发了该公司一些最坚定支持者的不满。知名特斯拉多头、未来基金(Future Fund)管理合伙人加里·布莱克发帖称,降价是一种“短期麻醉剂”,会让潜在客户等待进一步降价。
据外媒9月2日报道,荷兰半导体设备制造商阿斯麦称,尽管荷兰政府颁布的半导体设备出口管制新规9月正式生效,但该公司已获得在2023年底以前向中国运送受限制芯片制造机器的许可。
近日,根据美国证券交易委员会的文件显示,苹果卫星服务提供商 Globalstar 近期向马斯克旗下的 SpaceX 支付 6400 万美元(约 4.65 亿元人民币)。用于在 2023-2025 年期间,发射卫星,进一步扩展苹果 iPhone 系列的 SOS 卫星服务。
据报道,马斯克旗下社交平台𝕏(推特)日前调整了隐私政策,允许 𝕏 使用用户发布的信息来训练其人工智能(AI)模型。新的隐私政策将于 9 月 29 日生效。新政策规定,𝕏可能会使用所收集到的平台信息和公开可用的信息,来帮助训练 𝕏 的机器学习或人工智能模型。
9月2日,荣耀CEO赵明在采访中谈及华为手机回归时表示,替老同事们高兴,觉得手机行业,由于华为的回归,让竞争充满了更多的可能性和更多的魅力,对行业来说也是件好事。
《自然》30日发表的一篇论文报道了一个名为Swift的人工智能(AI)系统,该系统驾驶无人机的能力可在真实世界中一对一冠军赛里战胜人类对手。
近日,非营利组织纽约真菌学会(NYMS)发出警告,表示亚马逊为代表的电商平台上,充斥着各种AI生成的蘑菇觅食科普书籍,其中存在诸多错误。
社交媒体平台𝕏(原推特)新隐私政策提到:“在您同意的情况下,我们可能出于安全、安保和身份识别目的收集和使用您的生物识别信息。”
2023年德国柏林消费电子展上,各大企业都带来了最新的理念和产品,而高端化、本土化的中国产品正在不断吸引欧洲等国际市场的目光。
罗永浩日前在直播中吐槽苹果即将推出的 iPhone 新品,具体内容为:“以我对我‘子公司’的了解,我认为 iPhone 15 跟 iPhone 14 不会有什么区别的,除了序(列)号变了,这个‘不要脸’的东西,这个‘臭厨子’。