Synode:自动化预防Node.js的注入攻击

作者:{Zebork}@ArkTeam

原文作者:Staicu C A, Pradel M, Livshits B.

原文标题:Synode: Understanding and Automatically Preventing Injection Attacks on Node.js

原文会议:NDSS 2018

原文链接:https://www.ndss-symposium.org/wp-content/uploads/2018/03/NDSS2018_07A-2_Staicu_Slides.pdf

Node.js生态系统已经创造了许多的现代应用程序,其中包括服务器侧的Web应用程序和桌面应用程序。与浏览器中的JavaScript应用程序不同的是,Node.js应用程序没有浏览器沙箱的保护,可以和操作系统自由交互。因此,针对Node.js的注入攻击可以带来重大的损害。本文对235850 Node.js模块进行了大规模研究,发现数千个模块可能遭受注入攻击,并提出了Synode,一种自动化的注入缓解技术。Synode结合了静态分析和动态的运行时安全策略,易于部署,不需要对Node.js平台进行任何修改,其运行开销也达到了亚毫秒级,并且误报率只有10%

一、JavaScript的应用场景革新和问题

JavaScript除了驱动了绝大多数运行在浏览器中的Web应用程序,还在其他的平台有着革命性的进步。服务器侧Web应用程序和桌面应用程序都在越来越广泛地采用Node.js;移动应用程序也在越来越多地采用JavaScript,甚至操作系统,例如Firefox OS,也开始采用JavaScript进行开发。

JavaScript应用场景的革新,也将传统应用场景中JavaScript的问题传播到了其他的场景。值得注意的是这种问题是JavaScript语言本身在开发中可能导致的脆弱点,而不是简单的将Web应用程序的问题传播到其他场景。比如注入漏洞,在移动应用程序和Node.js环境中的影响更加严重,而浏览器Web应用中的最大问题则是XSS

二、Synode整体框架

Synode将静态分析和运行时检测结合到一个全自动的方法中,以缓解注入攻击,这是第一个解决Node.js中注入攻击的方法。Synode的总体思想是防止在注入API的注入。Synode首先会分析可能流入注入API的值,如果没有不受信任的数据可能流入注入API,则不需要进行进一步的分析;反之,如果有不受信任的数据可能流入注入点,则需要进行动态的运行时检测。对于运行时检测,Synode的方法是在静态分析时重写源代码,将检查代码插入到注入点之前,当运行时检测器检测到违反安全策略的值,程序将会终止,以防止注入攻击。


图1 总体框架图

三、静态分析

Synode的静态分析器首先将传递给注入API的值解析为树;然后对树进行分析得到一组模板,这些模板表示传递给函数的可能字符串的值,包括已知和未知部分;最后,基于生成的模板,静态分析器分析注入API的每个调用点是否是静态安全的,从而进一步决定是否要插入运行时检测代码。


图2 模板树的几个例子


图3 由模板树得到的模板

 

四、动态运行时检测

对于无法确定传递给注入API的值的调用点,采用动态的运行时检测的机制。运行时检测器分两步实现预期目标。

首先,检测器将静态提取的调用点模板集,转换为表示良性值的一组部分语法树(PAST),而模板的未知部分,则表示为未知子树;在执行时,检测器将传递给注入API的值解析为抽象语法树(AST),扩展未知子树。在这一步骤中,检测器将强制执行一种策略,使这个AST必须能够从至少一个部分语法树中导出,并且这些扩展要在所有可能AST节点的允许子集范围内。

五、性能

作者使用了搭载Intel Core I7(2.10GHz)12GB 内存,运行Ubuntu 14.04的联想ThinkPad T440s笔记本进行测试。

对于静态分析,Synode成功完成了15604个模块中的96.27%,平均分析时间是4.38秒;对于运行时检测,每一次检测的成本为0.74毫秒,在实践中,这一开销通常可以忽略不计。

发表评论

电子邮件地址不会被公开。 必填项已用*标注