NodeJS代码审计中常见的漏洞（三）

武天旭

已于 2023-07-15 23:03:08 修改

阅读量3.9k

点赞数

分类专栏：代码审计文章标签：安全架构 big data 安全

于 2022-03-04 15:35:59 首次发布

本文链接：https://blog.youkuaiyun.com/wutianxu123/article/details/123277896

版权

代码审计专栏收录该内容

54 篇文章 ¥9.90 ¥99.00

订阅专栏

超级会员免费看

本文详细探讨了NodeJS代码审计中常见的安全问题，包括基于DOM的XSS、跨站脚本XSS、密码安全、弱加密算法、密钥长度不足、表单中的密码、数据存储传递和日志伪造，每个问题都提供了详细的解释和修复建议，旨在提升NodeJS应用的安全性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

本博客地址：https://security.blog.youkuaiyun.com/article/details/123277896

经过漫长时间的迭代更新，内容从一开始的碎片化网罗搜集，到排版与整合划分，再到学习与实践验证，最后摒弃初始，用自己的语言与实践结论通俗的将它展现出来。强化知识技能的同时也为读者带来更好的阅读体验。

本篇介绍了以下代码安全问题：

编号	漏洞
1	基于DOM的XSS
2	跨站脚本XSS
3	密码安全
4	弱加密算法
5	密钥长度不足
6	表单中存在密码
7	数据存储传递
8

了解本专栏

订阅专栏解锁全文

超级会员免费看

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

武天旭

关注关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
打赏
打赏
打赏举报

举报

专栏目录

订阅专栏

NodeJS代码审计中常见的漏洞（四）

武天旭的博客

03-02

868

经过漫长时间的迭代更新，内容从一开始的碎片化网罗搜集，到排版与整合划分，再到学习与实践验证，最后摒弃初始，用自己的语言与实践结论通俗的将它展现出来。强化知识技能的同时也为读者带来更好的阅读体验。本篇介绍了以下代码安全问题：编号漏洞 1 敏感信息存储

NodeJS代码审计中常见的漏洞（一）

武天旭的博客

01-03

2190

经过漫长时间的迭代更新，内容从一开始的碎片化网罗搜集，到排版与整合划分，再到学习与实践验证，最后摒弃初始，用自己的语言与实践结论通俗的将它展现出来。强化知识技能的同时也为读者带来更好的阅读体验。本篇介绍了以下代码安全问题：编号漏洞 1 JavaScript劫持 2 动态解析代码 3 HTTP响应截断 4 SQL注入 5 命令注入

参与评论您还未登录，请先登录后发表或查看评论

红队实录系列(一)-从 NodeJS 代码审计到内网突破

tomato_bro的博客

07-14

980

红蓝对抗实战演习

node.js漏洞——

m0_73756016的博客

06-06

1365

简单的说 Node.js 就是运行在服务端的 JavaScript。Node.js 是一个基于 Chrome JavaScript 运行时建立的一个平台。Node.js 是一个事件驱动 I/O 服务端 JavaScript 环境，基于 Google 的 V8 引擎，V8 引擎执行 Javascript 的速度非常快，性能非常好。总结一下我觉得node.js就是提供一个JavaScript环境使这个语言升级可以写一些后端的东西直接做题学习。

Nodejs 常见漏洞

snowlyzz的博客

07-11

1878

nodejs漏洞

NODEJS 简单的三个漏洞

E1even的博客

03-15

1537

NODEJS 1.toUpperCase： toUpperCase这个函数有个特点：字符ı、ſ 经过toUpperCase()处理后结果为 I、S 字符K经过toLowerCase()处理后结果为k 利用特点（例题1）： CTFSHOW: 一个登录页面啥也不是，关键在于题目给了我们压缩包。打开之后： login.txt: var express = require('express'); var router = express.Router(); var users = require('../mod

Node.js 常见漏洞学习与总结

weixin_50464560的博客

10-01

3807

转载https://threezh1.com/2020/01/30/NodeJsVulns/ 危险函数所导致的命令执行eval()eval() 函数可计算某个字符串，并执行其中的的 JavaScript 代码。和PHP中eval函数一样，如果传递到函数中的参数可控并且没有经过严格的过滤时，就会导致漏洞的出现。简单例子： main.js 1234567891011var express = require("express");var app = express();app.get('/eval',fu

NodeJS代码审计中常见的漏洞（二）

武天旭的博客

01-03

1345

经过漫长时间的迭代更新，内容从一开始的碎片化网罗搜集，到排版与整合划分，再到学习与实践验证，最后摒弃初始，用自己的语言与实践结论通俗的将它展现出来。强化知识技能的同时也为读者带来更好的阅读体验。本篇介绍了以下代码安全问题：编号漏洞 1 template标签使用v-show指令 2 CORS策略 3 未设置httpOnly 4 不安全的通信协议 5 GET请求敏感信息 6 未加密的信息传输 7 拒绝服务

nodejs代码审计

最新发布

03-26

结合引用中的内容，比如持续集成中的NoderCE和Bull.js的任务队列（引用[2]可能相关），不过Bull.js主要是任务队列，可能在异步处理任务时需要注意安全，但用户问题更多是代码审计，可能这部分引用不太相关，需要看...

security-audit-nodejs:您的Node.js项目的安全性测试的集合

05-03

安全审计节点您的Node.js项目的安全性测试的集合。安装 npm install security-audit-nodejs --save-dev 用法该模块不提供API。它提供了一个脚本，供您包含在package.json文件中，简称为security-audit-nodejs 。您可以将其添加到"test"脚本中，例如： { " scripts " : { " test " : " eslint . && security-audit-nodejs " } } 每次您现在运行npm test ，它将在您的项目上运行各种各样的安全性测试。测试可能需要一段时间，因此将其放在单独的脚本中并作为CI设置的一部分运行可能会有所帮助： { " scripts " : { " test:security " : " security-audit-nod

Node.js-使用Nodejs和Dat的密码可审计的VM服务

08-10

使用Nodejs和Dat的密码可审计的VM服务

Node.js 修复多个漏洞，可导致RCE和HTTP请求走私

smellycat000的专栏

07-11

1705

探索NoderCE：一款强大的Node.js代码检查工具

gitblog_00051的博客

03-28

446

探索NoderCE：一款强大的Node.js代码检查工具 noderce使用 Nodejs 编写的博客程序项目地址:https://gitcode.com/gh_mirrors/no/noderce 在前端开发的世界中，保持代码质量与一致性是至关重要的。为此，我们向您推荐——一个高效且易用的Node.js代码检查工具。本文将深入解析其技术特性、功能用途及其为何值得开发者们采纳。项目简介 Nod...

Node.js代码漏洞扫描工具介绍——npm audit

killer1989的博客

10-08

2243

npm audit运行安全检查主要作用：检查命令将项目中配置的依赖项的描述提交到默认注册中心，并要求报告已知漏洞。如果发现任何漏洞，则将计算影响和适当的补救措施。如果 fix 提供了参数，则将对包树应用补救措施。具体参考：https://www.npmrc.cn/quick-start/about-npm.html。

【2024】Linux漏洞修复合集

slience_me的博客

01-03

5040

2024 Linux漏洞修复合集

NodeJs微服务框架待填坑记录【01】

略简略烦的博客

06-12

664

Seneca ：NodeJS 微服务框架中 async.whilst 无效，不进入循环这是运行在Seneca微服务框架中的 var datalist = [{number:10},{number:20},{number:30},{number:40},{number:50}]; var count = 0; console.log('0000000000##datalis...

Node.js 目录穿越漏洞 CVE-2017-14849 漏洞复现

ADummy的博客

03-08

493

Node.js 目录穿越漏洞（CVE-2017-14849） by ADummy 0x00利用路线连接到数据库，直接命令执行 0x01漏洞介绍原因是 Node.js 8.5.0 对目录进行normalize操作时出现了逻辑错误，导致向上层跳跃的时候（如../../../../../../etc/passwd），在中间位置增加foo/../（如../../../foo/../../../../etc/passwd），即可使normalize返回/etc/passwd，但实际上正确结果应该是

WEB攻防【5】——JS项目/Node.js框架安全/识别审计/验证绕过

weixin_42090431的博客

06-27

552

JS开发的WEB应用和PHP、java.NET等区别在于即没有源代码，也可以通过浏览器的查看源代码获取真实的点。网站检查网络下面加载了哪些js文件、以及js文件里面有没有嵌套别的js文件。一般有/static/js/app.j8 等顺序的js文件。2、开发框架-Vulhub-Node.JS安全。3、真实应用-APP应用直接重置密码。4、真实应用-违法彩彩文件上传安全。1、原生JS&开发框架-安全条件。4、如何获取更多的Js文件?2、流行的Js框架有那些?3、如何判定Js开发应用?5、如何快速获取价值代码?