Jak hacknout import dat? (Unsafe deserialization)

Dnes budu kouzlit... Proměním JSON v javascript. V javascriptu je JSON interpretovaný jako objekt, takže jako javascript. Takže vlastně vůbec nekouzlím. Aplikace mi umožňuje uploadovat uživatele, kteří jsou v JSON souboru. Pokud místo validního JSONu pošlu soubor s console.log("Ahoj"), funkcionalita sice selže, ale kód se na serveru vykoná! Může za to funkce eval, která se často používá k parsování JSON souborů. Místo té bychom měli použít bezpečnou funkci JSON.parse. V každém případě ale musíte vědět, jak daný formát, který zpracováváte, interpretuje daný programovací jazyk.
👉 Sledujte nás na ‪@bezpecnykod‬
👉 Vyvíjejte bezpečné aplikace na bezpecnykod.cz
👉 Odebírejte newsletter o aplikační bezpečnosti bezpecnykod.cz...
👉 Sledujte Bezpečný kód na LinkedInu / bezpecnykod
#bezpecnost #owasp #zranitelnost #zranitelnosti #hacking #pentest #api #deserializace #haxing #bezpecnykod

[@martintalavasek]

Pardon, ale nikdy jsem nikoho neviděl použít funkci "eval" k parsování JSONu, to je úplně zcestný :)

[@bezpecnykod]

To je dobře, že jste to neviděl.