Next.js SSR 权限错位链分析 - YMsora~Xの安全Blog

对手搓很友好的一集

首先看flag位置，可以看出被分为两半了

1
import fs from 'node:fs/promises'
2

3
export async function readFirstFlagHalf() {
4
  const flag = (await fs.readFile('/flag.txt', 'utf8')).trim()
5
  return flag.slice(0, Math.ceil(flag.length / 2))
6
}

可以追溯其调用的函数

1
export async function getServerSideProps({ req, res }) {
2
  const ticketUser = await findByTicketUuid(req.cookies.ticket_uuid || '')
3

4
  if (ticketUser?.id !== 1) {
5
    res.statusCode = 403
6
    return {
7
      props: {
8
        backstageNote: '',
9
        denied: true,
10
      },
11
    }
12
  }
13

14
  return {
15
    props: {
16
      backstageNote: await readFirstFlagHalf(),
17
      denied: false,
18
    },
19
  }
20
}

需要ticketUser为1，可以看看原生用户miku

1
await db.run(
2
  `
3
    INSERT INTO users (id, username, password_hash, tier, ticket_uuid)
4
    VALUES (?, ?, ?, ?, ?)
5
    ON CONFLICT(id) DO UPDATE SET
6
      password_hash = excluded.password_hash,
7
      ticket_uuid = excluded.ticket_uuid
8
  `,
9
  [1, 'miku', await bcrypt.hash(crypto.randomUUID(), 12), 'VIP', crypto.randomUUID()]
10
)

密码的hash是强加密，没法破解，怎么拿到ticket uuid是个问题

在全局查找ticket uudi的时候看到了row函数

1
function rowToUser(row) {
2
  if (!row) return null
3
  return {
4
    id: row.id,
5
    username: row.username,
6
    passwordHash: row.password_hash,
7
    tier: row.tier,
8
    ticketUuid: row.ticket_uuid,
9
  }
10
}

查看其调用位置

其中findusername是在login时鉴权采用，而findById在

1
export async function getServerSideProps({ query }) {
2
  const user = await findById(query.id)
3
  if (!user) return { notFound: true }
4
  const qrDataUrl = await QRCode.toDataURL(user.ticketUuid, {
5
    errorCorrectionLevel: 'M',
6
    margin: 1,
7
    width: 220,
8
    color: {
9
      dark: '#06111a',
10
      light: '#ffffffff',
11
    },
12
  })

的时候只需要传入query.id就可以row返回所有的信息。这在access-card.js中

因为是nextjs的框架，看看对于这个板块中间件的处理

1
export async function middleware(request) {
2
  const session = await verifyJwt(request.cookies.get('session')?.value)
3

4
  if (!session?.sub) {
5
    return deny(request)
6
  }
7

8
  if (request.nextUrl.pathname === '/access-card') {
9
    const checkedId = request.nextUrl.searchParams.get('id')
10

11
    if (checkedId !== session.sub) {
12
      return deny(request)
13
    }
14
  }

当然，这里的session最先一定是自身的，所以可以先建立一个用户

接下来就是过中间件。request.nextUrl.searchParams.get(‘id’)需要和session字段相等

但是同时query.id需要等于1

这里可以清晰看见这里是存在解析差异的

query.id是直接取，但是searchParams.get(‘id’)是nextjs库中的一个方法

Nextjs的源码有这个常量

export const NEXT_QUERY_PARAM_PREFIX = ‘nxtP’

以及这个函数

1
export function normalizeNextQueryParam(key: string): null | string {
2
  const prefixes = [NEXT_QUERY_PARAM_PREFIX, NEXT_INTERCEPTION_MARKER_PREFIX]
3

4
  for (const prefix of prefixes) {
5
    if (key !== prefix && key.startsWith(prefix)) {
6
      return key.substring(prefix.length)
7
    }
8
  }
9

10
  return null
11
}

可以看到会对前缀进行去除

这样先传nxtPid，再传id就可以返回id=1的ticket uuid

再看backroom的鉴权

1
if (request.nextUrl.pathname === '/backroom') {
2
    const expectedTicket = session.ticketUuid
3
    const middlewareTicket = request.cookies.get('ticket_uuid')?.value || ''
4

5
    if (!expectedTicket || middlewareTicket !== expectedTicket) {
6
      return deny(request)
7
    }
8
  }

以及

1
export async function getServerSideProps({ req, res }) {
2
  const ticketUser = await findByTicketUuid(req.cookies.ticket_uuid || '')
3

4
  if (ticketUser?.id !== 1) {
5
    res.statusCode = 403
6
    return {
7
      props: {
8
        backstageNote: '',
9
        denied: true,
10
      },
11
    }
12
  }
13

14
  return {
15
    props: {
16
      backstageNote: await readFirstFlagHalf(),
17
      denied: false,
18
    },
19
  }
20
}

条件有几个

req.cookies.ticket_uuid为miku的ticket

session.ticketUuid和request.cookies.get(‘ticket_uuid’)需要相等(中间件鉴权)

session是没法改得，所以request.cookies.get(‘ticket_uuid’)需要取到和我们用户一样得ticket

但是req.cookies.ticket_uuid为miku的ticket

可以看到这两者用的也是不一样的方法

request.cookie.get()逻辑如下

1
export class RequestCookies {
2
  _parsed: Map = new Map()
3

4
  constructor(requestHeaders: Headers) {
5
    const header = requestHeaders.get('cookie')
6
    if (header) {
7
      const parsed = parseCookie(header)
8
      for (const [name, value] of parsed) {
9
        this._parsed.set(name, { name, value })
10
      }
11
    }
12
  }
13

14
  get(name) {
15
    return this._parsed.get(name)
16
  }
17
}

可以看到这键值对会进行覆盖。

反复的this._parsed.set(name, { name, value })

会对上一对相同name的进行覆盖

而 req.cookies.ticket_uuid

1
const obj = {}
2

3
const key = ...
4

5
// only assign once
6
if (obj[key] === undefined) {
7
  obj[key] = value
8
}

源码注释也有 // only assign once

所以并不会被覆盖

所以就可以在对于覆盖的cookie进行操作，如下

Cookie: ticket_uuid=MIKU_TICKET; session=YOUR_SESSION; ticket_uuid=YOUR_TICKET

也就可以拿到第一部分的flag

再者看第二部分

1
import fs from 'node:fs/promises'
2

3
async function readSecondFlagHalf() {
4
  const flag = (await fs.readFile('/flag.txt', 'utf8')).trim()
5
  return flag.slice(Math.ceil(flag.length / 2))
6
}
7

8
export async function getServerSideProps() {
9
  return {
10
    props: {
11
      backstageNote: await readSecondFlagHalf(),
12
    },
13
  }
14
}
15

16
export default function CdnHome({ backstageNote }) {
17
  return (
18
    <main className="accepted-background" aria-label="Accepted">
19
      <div className="flag-overlay">{backstageNote}</div>
20
    </main>
21
  )
22
}

貌似访问首页就可以了，看中间件

1
import { NextResponse } from 'next/server'
2

3
export function middleware(request) {
4
  const remoteAddress =
5
    request.headers.get('x-real-migu') || ''
6

7
  if (remoteAddress !== '1.3.3.7') {
8
    const url = new URL('/rejected', request.url)
9
    return NextResponse.redirect(url, 302)
10
  }
11

12
  return NextResponse.next()
13
}
14

15
export const config = {
16
  matcher: ['/'],
17
}

也非常短，限定了remoteAddress

刚想着直接改，但是不行，nginx发力了，看看.conf

1
server {
2
  listen 8081;
3
  server_name _;
4

5
  proxy_http_version 1.1;
6
  proxy_set_header Host $http_host;
7
  proxy_set_header X-Forwarded-Host $http_host;
8
  proxy_set_header X-Real-Migu $remote_addr;
9
  proxy_set_header X-Forwarded-Proto $scheme;
10

11
  location /assets/ {
12
    alias /app/public/;
13
  }
14

15
  location / {
16
    proxy_pass http://127.0.0.1:3002;
17
  }
18
}

可以注意到对于请求头都经过了二次规范，改是没用了

看看中间件

1
export const config = {
2
  matcher: ['/'],
3
}

这里只对/进行了防护，这里会想到nextjs的特性

在服务build之后，对于函数的请求资源都会去额外构建一个分区， data route

也就是说，可以去哪里拿到json，也就绕过了/的封锁

接口在/_next/data//index.json

访问未受保护的页面拿到，然后去index.json拿flag

并且因为assetPrefix: ‘cdn’

所以

/ -> /cdn/_next/data//index.json

over

Next.js SSR 权限错位链分析 Cookie 覆盖 + Query 解析差异 + Data Route 绕过#