page.evaluate() 中是否存在 phantomJS 注入漏洞？

Question

使用 PhantomJS，您可以通过 page.evaluate() 在浏览器中执行代码。如果我们允许用户指定可以在该浏览器上下文中执行的代码，我们是否会向攻击向量敞开大门？有没有办法从浏览器上下文逃到 phantomJS 环境，从而在我们的服务器上执行命令？

这是一个例子：

page.open(options.url, function(status) {
    var test = function() {
            return page.evaluate(function() {
                return eval({{USER JAVASCRIPT STRING}});
            });
    });

        var interval = setInterval(function() {
          if (test()) {
            clearInterval(interval);
            // take screenshot, do other stuff, close phantom
          }
        }, 250);
});

据我了解，page.evaluate() 中出现的eval() 可以防止它们逃离打开的页面的上下文。用户 javascript 字符串作为字符串传递（它不会“编译”成单个 javascript 文件）。在我看来，这与用户使用浏览器浏览网站并试图通过他们最喜欢的 Javascript 控制台破解并没有什么不同。因此，这种用法并不代表安全漏洞。这是正确的吗？

更新

为了更清楚地说明确切的用例。基本要点是有人会转到一个网址http://www.myapp.com/?url=http://anotherurl.com/&condition={{javascriptstring}}。当worker可用时，它会启动一个幻像实例，page.open提供的URL，然后当遇到condition时，它会截取网页。这样做的目的是，一些页面，尤其是那些有大量异步 javascript 的页面，具有不像 DOM ready 或 window ready 那样简单的奇怪的“就绪”条件。这样，在 javascript 条件为真之前，不会截取屏幕截图。示例包括 $(".domNode").data("jQueryUIWidget").loaded == true 或 $(".someNode").length > 0。

Answer 1

我对 PhantomJS 不是很熟悉，但 eval 在运行未知代码时本质上是不安全的。逃避预期的上下文很容易：

return page.evaluate(function() {
    return eval({{javascriptstring}});
});

http://example.com/?url=http://anotherurl.com/&condition={{javascriptstring}}

{{javascriptstring}} 等于哪里呢：

console.log('All your script are belong to us');

我不确定你可以用 PhantomJS 做什么样的讨厌的事情，但这是一个用户能够运行他们想要的任何代码的例子，所以这听起来不是一个好主意。用户字符串实际上可以是一个完整的程序。

澄清一下，注入漏洞不在page.evaluate() 中，它在你的代码中的eval 中。

Answer 2

是的，这是DOM based XSS。这是一个可用于劫持用户（或管理）会话并将用户暴露于其他攻击的漏洞。

如果输入来自 GET/POST 或 Fragment 或 URL 的一部分，那么它很容易被利用。如果输入来自 UI，则可以是exploited with clickjacking。