Перейти к содержимому
Все пути
Путь nodejs 6 модулей

Node.js Prototype Pollution: Цепочка прототипов, гаджеты и DoS

Глубокое погружение в уязвимость Prototype Pollution, уникальную для JavaScript. Вы изучите механику прототипной цепочки, научитесь загрязнять Object.prototype через JSON merge, эскалировать до RCE через gadget chains и устраивать DoS через переопределение встроенных методов. Защита через Object.create(null), Object.freeze и schema validation.

01

Модуль 1: Прототипная цепочка JavaScript

Глубокое понимание наследования через прототипы, __proto__, Object.prototype и механики property lookup.

0/3
  • 1. Прототипная цепочка — как работает наследование в JS
    Pro
  • 2. Prototype Pollution — обзор уязвимости
    Pro
  • 3. Проверка знаний
    Pro
02

Модуль 2: Basic Prototype Pollution

Загрязнение прототипа через __proto__ в JSON merge и рекурсивных функциях. Защита через Object.create(null) и Map.

0/4
  • 1. Атака — __proto__ через JSON merge
    Pro
  • 2. Защита — Object.create(null) и Map
    Pro
  • 3. Проверка знаний
    Pro
  • EXP FIX
    4. Практика — базовое загрязнение прототипа
    medium
    Pro
03

Модуль 3: Gadget Chains — от Pollution к RCE

Эскалация Prototype Pollution до привилегий администратора и RCE через child_process. Защита через Object.freeze и безопасные версии lodash.

0/4
  • 1. Атака — gadget chains и эскалация привилегий
    Pro
  • 2. Защита — Object.freeze и safe lodash
    Pro
  • 3. Проверка знаний
    Pro
  • EXP FIX
    4. Практика — RCE через gadget chain
    hard
    Pro
04

Модуль 4: DoS через Prototype Pollution

Denial of Service через переопределение toString, hasOwnProperty и других встроенных методов. Защита через Object.hasOwn() и schema validation.

0/4
  • 1. Атака — DoS через переопределение встроенных методов
    Pro
  • 2. Защита — Object.hasOwn() и schema validation
    Pro
  • 3. Проверка знаний
    Pro
  • EXP FIX
    4. Практика — DoS через прототип
    hard
    Pro
05

Модуль 5: Итоговый обзор и реальные CVE

Сравнение методов защиты, AST-анализ, реальные CVE в lodash, express-fileupload и других библиотеках; итоговая ментальная карта Prototype Pollution.

0/3
  • 1. Сравнение защит и реальные CVE
    Pro
  • 2. Итоговый обзор — ментальная карта Prototype Pollution
    Pro
  • 3. Проверка знаний
    Pro
06

Модуль 6: Defense-in-Depth и автоматизация

Многослойная защита приложения от Prototype Pollution и автоматизация обнаружения — SAST, SCA, DAST, runtime monitoring, CI/CD pipeline.

0/3
  • 1. Defense-in-Depth — синтез слоёв защиты
    Pro
  • 2. Автоматизация обнаружения — SAST, DAST, CI/CD
    Pro
  • 3. Финальный тест — Defense-in-Depth и автоматизация
    Pro
🚧 Сайт в разработке. Полный функционал пока недоступен. Все вопросы — support@hackandfix.ru