Node.js 是一個強大且廣泛使用的 JavaScript 運行時環(huán)境，用于構(gòu)建服務(wù)器端應(yīng)用程序。然而，與任何其他軟件一樣，Node.js 也有自己的一些漏洞，如果處理不當(dāng)，可能會導(dǎo)致安全問題。請注意，這些漏洞并不是 Node.js 所獨有的，它們可以在每種后端編程語言中找到。
在本文中，我們將討論一些常見的 Node.js 服務(wù)器漏洞，并提供一些有關(guān)如何緩解這些漏洞的技巧。
SQL 注入漏洞
Node.js 應(yīng)用程序容易遭受注入攻擊，比如 SQL 注入、NoSQL 注入和命令注入。當(dāng)攻擊者將惡意代碼輸入到易受攻擊的應(yīng)用程序并且該應(yīng)用程序執(zhí)行該代碼時，就會發(fā)生此類攻擊。
當(dāng)不受信任的數(shù)據(jù)連接到 SQL 查詢中時，注入漏洞可能是 SQL 注入。攻擊者可以將惡意代碼注入查詢中，然后數(shù)據(jù)庫可以執(zhí)行該查詢。
以下代碼容易受到 SQL 注入：
const express = require("express");
const app = express();
const mysql = require("mysql");
const connection = mysql.createConnection({
host: "localhost",
user: "root",
password: "password",
database: "test",
});
app.get("/user", (req, res) => {
const id = req.query.id;
const query = `SELECT * FROM users WHERE id = ${id}`;
connection.query(query, (error, results) => {
if (error) {
throw error;
}
res.send(results);
});
});
app.listen(3000, () => {
console.log("Example app listening on port 3000!");
});
在上面的示例中，查詢字符串中的 id 參數(shù)直接連接到 SQL 查詢中。如果攻擊者傳遞 id 的惡意值，例如 1 OR 1=1，則生成的查詢將是 SELECT * FROM users WHERE id = 1 OR 1=1，這將返回 users 表。
為了防止此類漏洞，在使用數(shù)據(jù)庫時驗證用戶輸入并使用參數(shù)化查詢非常重要。在上面的示例中，這可以通過使用準(zhǔn)備好的語句并將 id 值綁定到查詢來完成，如下所示：
app.get("/user", (req, res) => {
const id = req.query.id;
const query = "SELECT * FROM users WHERE id = ?";
connection.query(query, [id], (error, results) => {
if (error) {
throw error;
}
res.send(results);
});
});
app.listen(3000, () => {
console.log("Example app listening on port 3000!");
});
跨站腳本（XSS）漏洞
XSS 攻擊允許攻擊者將惡意腳本注入其他用戶查看的網(wǎng)頁中。這可能會導(dǎo)致敏感信息被盜，例如登錄憑據(jù)或其他敏感數(shù)據(jù)。為了防止 XSS 攻擊，在將其發(fā)送到客戶端之前清理所有用戶生成的數(shù)據(jù)并對其進行驗證非常重要。
以下是易受 XSS 攻擊的易受攻擊的代碼示例：
const express = require("express");
const app = express();
app.get("/", (req, res) => {
const name = req.query.name;
res.send(`<h1>Hello, ${name}</h1>`);
});
app.listen(3000, () => {
console.log("Example app listening on port 3000!");
});
查詢字符串中的 name 參數(shù)直接包含在 HTML 響應(yīng)中。如果攻擊者傳遞 name 的惡意值（例如 <script>alert('XSS')</script>），則生成的 HTML 將包含攻擊者的惡意腳本。
如果你想嘗試一下，請創(chuàng)建一個名為 xss 的文件夾。移至該文件夾并鍵入 npm init -y，然后鍵入 npm i express。創(chuàng)建一個名為 index.js 的文件并粘貼上面的代碼。運行文件 (node index.js) 后，導(dǎo)航到瀏覽器并訪問 localhost:3000。要查看 XSS 攻擊的實際情況，只需將你想要的代碼添加到查詢中，如下所示：
localhost:3000/?name=<script>alert('XSS')</script>
為了防止這種類型的漏洞，我們可以使用諸如 escape-html 之類的庫。
const express = require("express");
const app = express();
const escapeHtml = require("escape-html");
app.get("/", (req, res) => {
const name = escapeHtml(req.query.name);
res.send(`<h1>Hello, ${name}</h1>`);
});
app.listen(3000, () => {
console.log("Example app listening on port 3000!");
});
如果再次測試查詢，你將看到不同的結(jié)果。
拒絕服務(wù) (DoS) 漏洞
DoS 攻擊旨在使服務(wù)器過載并導(dǎo)致其崩潰。這可以通過多種方法來完成，例如向服務(wù)器發(fā)送大量請求或用數(shù)據(jù)淹沒服務(wù)器。為了防止 DoS 攻擊，實施速率限制、使用適當(dāng)?shù)腻e誤處理并擁有強大的基礎(chǔ)設(shè)施非常重要。
以下是一些容易受到 DoS 攻擊的易受攻擊的代碼的示例：
const express = require("express");
const app = express();
app.get("/", (req, res) => {
// 進行一個資源密集型操作
while (true) {}
});
app.listen(3000, () => {
console.log("Example app listening on port 3000!");
});
在此示例中，服務(wù)器容易受到 DoS 攻擊，因為它無法正確處理傳入請求。如果攻擊者向端點發(fā)送大量請求，服務(wù)器將在嘗試執(zhí)行無限循環(huán)時變得無響應(yīng)。
為了防止此類漏洞，正確處理和驗證傳入請求并限制單個請求可以消耗的資源量非常重要。在上面的示例中，這可以通過使用中間件來限制最大請求數(shù)來完成。我們可以使用一個很好的包來為我們處理這個問題，express-rate-limit 并像這樣使用它：
const express = require("express");
const app = express();
const rateLimit = require("express-rate-limit");
const limiter = rateLimit({
windowMs: 15 * 60 * 1000,
max: 100, // 將每個 I P限制為最多發(fā)送100個請求
message: "請求超時，請稍后再試",
});
app.use(limiter);
app.get("/", (req, res) => {
res.send("Hello, World!");
});
app.listen(3000, () => {
console.log("Example app listening on port 3000!");
});
錯誤的認(rèn)證和授權(quán)
錯誤的身份驗證和授權(quán)可能會導(dǎo)致未經(jīng)授權(quán)訪問敏感數(shù)據(jù)，從而導(dǎo)致盜竊或損壞。為了防止這種情況，實施正確的身份驗證和授權(quán)方法非常重要，例如使用安全密碼和雙因素身份驗證。
以下是容易受到不正確身份驗證的代碼示例：
const express = require("express");
const app = express();
app.get("/secret", (req, res) => {
res.send("This is a secret page!");
});
app.listen(3000, () => {
console.log("Example app listening on port 3000!");
});
在此示例中， /secret 端點未受到適當(dāng)保護，任何知道 URL 的人都可以訪問它。
為了防止此類漏洞，正確實施和強制執(zhí)行身份驗證機制非常重要。在上面的示例中，這可以使用身份驗證中間件來完成，如下所示：
const express = require("express");
const app = express();
const checkAuth = (req, res, next) => {
if (!req.session.user) {
return res.status(401).send("Unauthorized");
}
next();
};
app.get("/secret", checkAuth, (req, res) => {
res.send("This is a secret page!");
});
app.listen(3000, () => {
console.log("Example app listening on port 3000!");
});
在此示例中，checkAuth 中間件用于在訪問 /secret 端點之前檢查用戶是否經(jīng)過身份驗證。如果用戶未通過身份驗證，中間件將返回 401 Unauthorized 響應(yīng)。
不安全的直接對象引用
就像錯誤的授權(quán)一樣，在不安全的直接對象引用中，攻擊者可以直接訪問和操作對象，繞過預(yù)期的安全控制。以下是 Node.js 中此類漏洞的示例：
const express = require("express");
const app = express();
const users = [
{ id: 1, name: "John Doe" },
{ id: 2, name: "Jane Doe" },
];
app.get("/user/:id", function (req, res) {
let user = users.find((user) => user.id == req.params.id);
if (!user) {
res.status(404).send("User not found");
return;
}
res.send(user);
});
app.listen(3000);
在上面的示例中，代碼根據(jù) URL 中傳遞的 id 參數(shù)（例如 /user/1 ）從 users 數(shù)組中檢索用戶。
這是不安全的直接對象引用的典型示例，因為攻擊者可能會操縱 URL 中的 id 參數(shù)來訪問其他用戶的數(shù)據(jù)。為了緩解此漏洞，代碼應(yīng)檢查正在檢索的用戶是否有權(quán)由當(dāng)前用戶訪問。文章來源：http://www.zghlxwxcb.cn/news/detail-851121.html
總結(jié)
Node.js 是一項強大且廣泛使用的技術(shù)，但了解潛在的漏洞也很重要。通過遵循最佳實踐并采取主動措施，你可以確保 Node.js 應(yīng)用程序的安全并保護敏感數(shù)據(jù)。請隨意在你的計算機上運行代碼片段并進行試驗。文章來源地址http://www.zghlxwxcb.cn/news/detail-851121.html
到了這里，關(guān)于Node.js 的 5 個常見服務(wù)器漏洞的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
