__proto__の除去でNode.jsのプロトタイプ汚染を防げないケース - knqyf263's blog

前提 Node.jsのプロトタイプ汚染について書いているのですが、プロトタイプの説明（prototype と __proto__ の関係とか）を定期的に見直さないと綺麗サッパリ忘れる程度にはNode.js触っていないので、何かおかしいところあればご指摘お願いします。 概要 Node.jsではここ数年プロトタイプ汚染攻撃が流行っています。概要は以下を見れば分かると思います。 jovi0608.hatenablog.com そもそもプロトタイプって何？という人は以下の記事が分かりやすいです。自分はお守りのように定期的に読んでます。 qiita.com 外部から送られてきたJSONなどをパースして変換し、そのオブジェクトをmergeやcloneする際に __proto__ を上書きすることで Object.prototype を汚染するというものです。このオブジェクトが書き換えられると、新しく作

[Fushihara]

Mapに書き換えるのが大変だから出来ない。ってのも問題だと思う。Mapに対して、JSON.stringifyが出来るようにしてくれ

[efcl]

`__proto__`と`constructor.prototype`について

[rgfx]

プロトタイプベースOOP厳しい

[havanap]

oboe

[yosuke_furukawa]

functionがobjectなの、こういうところの実装にきいてくんだなぁ、、、

[berlysia]

完全にはlodashやめられない理由が実はこの辺で、長く使われてるのでこういう攻撃に対する対処が最初から済んでるとかなんですよね

[Shisama]

constructor を使ったプロトタイプ汚染と Hidden Property Abusing (HPA) について。__proto__の除去だけでは防げないケースや事例が紹介されている。変更される想定がないプロパティの上書きによる攻撃 HPA についても紹介されている