NEW BOT Телеграм, страница

Security Code Review #c31

Environment : #JS

Can you bypass regex ?

463 views11:31

Forwarded from Code Review Chat

Solution :
اگر به خط 12 دقت کنین میبینین که یه ریجکس سفت و سخت اعمال شده و میگه اول origin ما حتما باید با email شروع شده باشه و بعدش نقطه باشه و در آخر هم

example.com

وجود داشته باشه.
عملا هیچ راهی برای دور زدن این ریجکس نیست چون خیلی سفت و سخته.

حالا اصن ریجکس رو دور بزنیم چی میشه ؟
میتونیم از هر Origin که میخوایم به این صفحه یه message ارسال کنیم و چون ورودی ما داخل eval میشینه میتونیم به XSS برسیم تنها کاری که لازمه انجام بدیم اینه که بتونیم از یه Origin دیگه درخواست ارسال کنیم.

خب بریم سراغ دور زدن ریجکس :
معمولا یکی از ریجکس های آسیب پذیر به این شکل هست :

^email.example\.com$

اینجا چون ما نقطه رو داخل ریجکس اسکیپ نکردیم ، معنی "هر کرکتر" میده یعنی همچین ورودی هایی از شرط ریجکس عبور میکنه :

email{a}example.com
email{b}example.com
email{any_character}example.com

ولی داخل کد خط 12 که نقطه هم اسکیپ شده پس مشکلش کوجیست ؟
مشکل دقیقا همینجاست حالا چرا ؟
وقتی به صورت معمولی ریجکس مینویسیم میتونیم از یه \ برای اسکیپ کرکترهای خاص استفاده کنیم :

const re = /^email\.example\.com$/;
re.test('email.example.com'); // true

این ریجکس کاملا اوکیه و مشکلی نداره.

ولی وقتی داخل string در JavaScript ریجکس خودمون رو تعریف میکنیم ، بک اسلش اول برای اسکیپ کردن کرکتر ها داخل خود JS استفاده میشه و ربطی به Regex نداره.
یعنی وقتی ما به این صورت کد رو مینویسیم :

        const pattern = "^email\.example\.com$";
        const allowedOriginRegex = new RegExp(pattern);

درواقع JavaScript میاد و اون بک اسلش رو به عنوان اسکیپ کرکتر میبینه و عملیات اسکیپ رو روی string انجام میده و همچین چیزی رو به RegExp پاس میده :

RegExp("^email.example\.com$")

حالا اینجاهم ریجکس میاد و کرکتر ( . ) رو به عنوان یه کرکتر با معنی خاص تفسیر میکنه و باعث آسیب پذیری میشه.
به صورت خلاصه به این شکل دور میخوره :

emailaexample.com

حالا کافیه یه دامین با این اسم داشته باشیم و از طریق اون یه postMessage ارسال کنیم و ورودی ما داخل Eval میشینه و XSS داریم.

❤2

712 views11:32