JavaScript原型链攻击与防御详解

一、JavaScript原型基础

1. JavaScript原型语言特性

• 无类设计：ES6之前没有class概念，是基于原型的语言
• 核心概念：原型对象作为新对象的模板，共享自身属性
• 继承结构：所有对象构成树状层级系统，顶层是原生对象

2. 原型链关键属性

• __proto__：每个对象都有的属性，指向其原型对象
• prototype：函数特有的属性，指向该函数的原型对象
• 默认指向规则：
  1. 对象由函数生成
  2. 生成对象时，对象的__proto__指向函数的prototype

二、原型链污染原理

1. 漏洞起源

• 最初发现于jQuery的$.extend(true, ...)方法
• 影响范围：所有使用ECMAScript的应用（前后端均受影响）

2. 攻击原理

当攻击者可以控制对象合并操作的参数时，可以：

1. 覆盖对象的__proto__或prototype属性
2. 控制原型链顶端的方法
3. 重写方法会影响所有继承该原型的子对象

3. 易受攻击的操作

• 对象深度合并操作
• 常见危险库：
  • xtend
  • deepmerge
  • webpack-merge
  • merge2
  • lodash.merge

三、攻击案例

1. 远程命令执行(RCE)

案例：Ghost CMS漏洞

• 攻击方式：通过构造特殊请求污染原型链
• 结果：控制任意方法或对象属性，实现RCE

2. 拒绝服务(DoS)

攻击原理：

• JavaScript中所有对象都有toString和valueOf方法
• 通过__proto__重写这些方法
• 在Express等框架中导致服务不可用

3. 任意文件读取

攻击原理：

• 重写定义模板文件路径的"私有属性"
• 改变模板渲染路径实现任意文件读取

四、防御措施

1. 黑名单过滤（不推荐）

• 迭代对象属性，过滤__proto__和prototype
• 缺点：需要维护大量黑名单，防御不全面

2. 推荐防御方案

(1) 使用Object.freeze

Object.freeze(Object.prototype);

• 阻止对原型链的修改
• 缺点：可能导致隐性bug

(2) 使用Map数据结构

• ES6的Map键可以是任意对象类型
• 避免使用原生对象结构

(3) 使用Object.create(null)（强烈推荐）

const safeObj = Object.create(null);

• 创建无原型链的对象
• 完全隔离继承关系
• 客户端无法通过原型链进行污染

五、实践建议

1. 对象合并操作：对用户输入的对象使用Object.create(null)创建基础对象
2. 关键库升级：确保使用的对象操作库已修复原型污染问题
3. 代码审计：检查所有对象深度合并操作的安全性
4. 防御组合：结合多种防御措施提高安全性

六、扩展思考

1. 漏洞挖掘：可以通过分析项目依赖关系寻找潜在的原型链污染漏洞
2. 框架影响：不同JavaScript框架对原型污染的敏感度不同
3. ES6+特性：class语法糖是否完全避免了原型污染风险？

通过理解原型链污染的原理和防御方法，开发者可以编写更安全的JavaScript代码，有效防范此类攻击。