【网络安全 | CTF】攻防世界wife_wife解题详析

秋说

已于 2024-05-31 09:37:45 修改

阅读量7.8k

点赞数 2

分类专栏： CTF新手入门实战教程文章标签： web安全攻防世界 CTF

于 2023-07-23 09:44:12 首次发布

原创文章，禁止转载，否则保留追究法律责任的权利。

本文链接：https://blog.youkuaiyun.com/2301_77485708/article/details/131844801

版权

CTF新手入门实战教程专栏收录该内容

80 篇文章 ¥19.90 ¥99.00

订阅专栏

超级会员免费看

本文详细分析了攻防世界CTF挑战`wife_wife`，重点探讨了JavaScript原型链污染漏洞。通过实例展示了在Node.js环境中，如何利用原型链污染进行攻击，并成功获取管理员权限。通过注册页面的抓包和数据构造，最终实现权限提升并获得flag。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

文章目录

- 正文

正文

该题涉及Java Script原型链污染

在这里插入图片描述

可以看到，后端编程语言为Node.js，

在这里插入图片描述
简单来讲，通过 newUser.__proto__ 可以访问到新对象的原型

未污染时：

baseUser = {
    a:1
}
user = {
    a:2,
    b:1,
    __proto__:{
        c:3
    }
}
 
// 浅复制一个对象，第一个参数位是对象的内容，后面的参数位是多个对象内容叠加进去，进行复制出一个全新的对象
let newUser = Object.assign({}, baseUser, user)  

// 输出结果为{a:2,b:1}，无污染
console.log(newUser)  
// {a: 2, b: 1}  
console.log(newUser.__proto__)  
//{c

了解本专栏