web-playbook-10-prototype-poll…

# Node.js + Express 会员注册页面原型污染审计指南

一、测试思路概述

原型污染是指攻击者通过 __proto__、constructor.prototype 等键值污染 JavaScript 对象原型链，影响所有继承该原型的对象。会员注册页面常见的输入点包括 JSON 请求体、查询参数、表单字段。

二、漏洞清单（按优先级排查）

1. 请求体解析环节

• 检查 body-parser 版本（<1.19.2 存在已知解析缺陷）
• 测试向注册接口 POST：

```json

{"__proto__":{"isAdmin":true}}

{"constructor":{"prototype":{"role":"admin"}}}

```

2. 查询参数解析

• Express 默认使用 qs 库解析查询字符串，测试：
• ?__proto__[admin]=1
• ?__proto__%5Bpolluted%5D=yes

3. 深度合并操作

• 排查代码中是否使用 lodash.merge、deepmerge、自研的递归合并函数（注册时合并用户配置/默认会员属性是高危场景）

4. 污染验证方式

• 污染后请求其他接口，观察是否出现异常行为（如所有响应多出字段、权限判断绕过、Object.keys 出现意外键）
• 检查 ({}).admin 是否变为 true

5. 关联风险（污染的下游利用）

• RCE：若代码使用 child_process.spawn 且环境变量可被污染（如 NODE_OPTIONS）
• 绕过认证/权限判断逻辑
• DoS：污染导致循环或比较逻辑异常

三、修复方案

立即措施

• 升级 body-parser 至最新版本
• 对 qs 设置 plainObjects: true + allowPrototypes: false（Express 5 默认更安全）

代码层修复

• 所有深合并函数入口过滤危险键：__proto__、constructor、prototype
• 优先使用 Object.create(null) 创建合并目标对象
• 用 Object.freeze(Object.prototype) 作为临时缓解（注意兼容性风险）

输入校验

• 注册接口使用 Schema 校验（如 Joi、Zod），白名单字段，拒绝未知键
• 禁止直接将用户输入 merge 到默认会员对象

防护加固

• WAF 添加对 __proto__、constructor[prototype] 模式的拦截规则
• 添加自动化回归测试用例，纳入 CI

四、时间安排建议

• 前两天：环境梳理 + 漏洞测试
• 第三天：验证利用影响面
• 第四天前：输出报告并提交修复 PR，预留缓冲

提醒：测试仅限公司授权范围内的官网环境，保留完整测试记录（请求/响应截图）用于报告存档。