الـ Prototype Pollution والـ Resource DoS: request واحد يخلّي الكل admin أو يوقّع الـ server

01 / ملخص الدرس

deep merge عادي بيخلّي أي user يضيف isAdmin لكل الـ objects في الـ app، و regex للـ email بيوقّف الـ event loop تانية ونص بـ تسعة وعشرين حرف، و JSON بعشرين ميجا بيتقبل. بنفهم الـ prototype chain، و __proto__ و constructor، و Object.create(null) و Map، و ReDoS و catastrophic backtracking، وحدود الـ body والعمق والـ arrays، والـ event loop. والتحدي: hardening.js قصاد خمسة وتلاتين حالة.

ضمن مسارباك إند Node.js للإنتاج — من تحت الصفر80 / 122

02 / شرح الدرس مكتوبًا

نص شرح المعلم والكود الذي كتبه ونتيجة تشغيله، بنفس ترتيب الدرس.

أهلًا بيك. آخر درس في قسم الأمن، وفيه نوعين من الهجمات خاصين بـ JavaScript و Node. الأول: prototype pollution. في JavaScript كل object ليه prototype، وأغلب الـ objects بيشاوروا على نفس الـ prototype، اللي اسمه Object dot prototype. لو قريت property مش موجودة في الـ object، JavaScript بتدوّر عليها في الـ prototype. فلو حد قدر يكتب حاجة في Object dot prototype، كل object في الـ app كله هيشوفها. التاني: الـ resource DoS. Node بيشتغل على thread واحد، الـ event loop. لو request واحد قعد يحسب تانيتين، كل الـ requests التانية، لكل المستخدمين، بتستنى. server dot js فيه الاتنين: deep merge للـ settings، و regex للـ email، و express json بـ limit خمسين ميجا. attack dot js: واحد، محمود بيغيّر الـ settings بتاعته، بس الـ JSON فيه key اسمه underscore underscore proto. اتنين، email طوله تسعة وعشرين حرف، وآخره علامة تعجب. تلاتة، JSON بعشرين ميجا. ومع كل واحد بنبعت health check في نفس الوقت، علشان نشوف باقي المستخدمين حصلهم إيه. نشغّل.

attack.js

// attack.js: تلات هجمات، ومعاها health check بنقيس بيه الـ server واقف ولا لأ
const URL = "http://localhost:3000";
const send = (method, path, body) =>
  fetch(URL + path, { method, headers: { "content-type": "application/json" }, body: typeof body === "string" ? body : JSON.stringify(body) })
    .then(async (r) => ({ status: r.status, json: await r.json().catch(() => null) }))
    .catch((e) => ({ status: "error", json: e.cause?.code ?? e.message }));

// health check في نفس الوقت: لو الـ event loop واقف، ده هيستنى
async function healthDuring(attack) {
  const t = Date.now();
  const p = attack();
  await new Promise((r) => setTimeout(r, 30));
  const h0 = Date.now();
  await send("GET", "/health");
  const healthMs = Date.now() - h0;
  const result = await p;
  return { result, total: Date.now() - t, healthMs };
}

// ١) prototype pollution: الـ key اسمه __proto__
console.log("قبل: sara admin؟", (await send("GET", "/users/u2/can-delete")).json);
await send("PATCH", "/users/u1/settings", '{"theme":"dark","__proto__":{"isAdmin":true}}');
console.log("١) بعد settings بتاعة mahmoud: sara admin؟", (await send("GET", "/users/u2/can-delete")).json);

// ٢) ReDoS: email طويل آخره غلط
const evil = "a".repeat(28) + "!";
const r = await healthDuring(() => send("POST", "/subscribe", { email: evil }));
console.log(`٢) ReDoS بـ ${evil.length} حرف: الـ request خد ${r.total}ms، والـ health استنى ${r.healthMs}ms`);

// ٣) JSON ضخم: عشرين ميجا
const big = JSON.stringify({ rows: Array.from({ length: 400_000 }, (_, i) => ({ id: i, name: "x".repeat(30) })) });
const b = await healthDuring(() => send("POST", "/import", big));
console.log(`٣) JSON ${(big.length / 1e6).toFixed(0)}MB ← ${b.result.status}: خد ${b.total}ms، والـ health استنى ${b.healthMs}ms`);

المخرجات

$ node server.js & S=$!; sleep 1; node attack.js; kill $S
API: http://localhost:3000
قبل: sara admin؟ { user: 'sara', isAdmin: false }
١) بعد settings بتاعة mahmoud: sara admin؟ { user: 'sara', isAdmin: true }
٢) ReDoS بـ 29 حرف: الـ request خد 1588ms، والـ health استنى 1557ms
٣) JSON 21MB ← 200: خد 243ms، والـ health استنى 8ms

واحد: sara بقت admin. محمود ما لمسش الـ user بتاعها خالص، غيّر الـ settings بتاعته بس. الـ merge عمل settings dot underscore proto dot isAdmin، وده بيكتب في Object dot prototype، فكل object في الـ process بقى عنده isAdmin بـ true. وده حصل بجد: lodash و jQuery وكتير من مكتبات الـ merge والـ query string كان فيهم ده. اتنين: تسعة وعشرين حرف بس، والـ request خد أكتر من تانية ونص، والـ health check استنى نفس الوقت. يعني كل الـ app وقف. ولو زوّدت حرف أو اتنين، الوقت بيتضاعف. تلاتة: عشرين ميجا اتقبلوا واتعمل لهم parse. هنا الوقت كان معقول، بس الـ memory اللي اتحجزت كبيرة، وعشرة requests زي ده في نفس الوقت ممكن يوقّعوا الـ process.

نقفل الـ prototype pollution إزاي؟ الـ keys الخطيرة تلاتة: underscore underscore proto، و constructor، و prototype. لأن constructor dot prototype بيوصل لنفس المكان. ارفضهم، ما تتجاهلهمش بس، علشان اللي بيبعتهم بيحاول يهاجم. لف على الـ own keys بس، بـ Object dot keys، مش for in. الـ objects اللي بتعملها في الـ merge اعملها بـ Object create null: object مالوش prototype خالص، فمفيش حاجة توصل لها. واستخدم Map للـ lookups بالـ id بدل object عادي. لو الـ users في object، و id اسمه underscore underscore proto، هترجع الـ prototype نفسه. وفي الشيك على الصلاحيات: Object hasOwn، مش مجرد قراية الـ property. وفي Node فيه flag اسمه disable-proto، بيشيل underscore underscore proto من الـ language نفسها. وأحسن من كل ده: ما تعملش merge لـ input المستخدم أصلًا. اعمل validation بـ zod لشكل الـ settings، وخد الـ fields اللي إنت عارفها بس.

والـ ReDoS. الـ regex engine في JavaScript بيعمل backtracking: لو جرّب طريقة وفشل، يرجع ويجرّب تقسيمة تانية. والـ regex بتاعنا فيه group جُوّاه plus، وعلى الـ group نفسه plus. فالـ string اللي فيها تسعة وعشرين حرف ممكن تتقسم بعدد طرق رهيب، والـ engine بيجرّبهم كلهم قبل ما يقول لأ، لما يلاقي علامة التعجب في الآخر. ده اسمه catastrophic backtracking. الحل: حط حد للطول قبل الـ regex. الـ email أقصاه ميتين أربعة وخمسين. ما تكتبش quantifier جُوّه group عليه quantifier. ولو الـ regex جاي من المستخدم، أو معقد أوي، استخدم engine من غير backtracking زي RE2. وفيه أدوات زي safe-regex و eslint plugins بتكشف الـ regex الخطير.

وباقي الـ resource DoS: حجم الـ body: limit على قد الـ API. الـ settings مش محتاجة أكتر من مِيّة kilobyte. والـ uploads الكبيرة ليها route لوحدها، بـ streaming، مش JSON. شكل الـ JSON: حتى body صغير ممكن يبقى عمقه ألف مستوى، و recursive function تقع بـ stack overflow، أو array فيها مِيّة ألف رقم صغير. فبنشيك العمق وعدد الـ keys وطول الـ arrays. وحدود تانية شفناها قبل كده: rate limiting، و timeout لكل request، و pagination بحد أقصى، وحد لعدد الـ files في الـ upload. القاعدة: أي حاجة المستخدم بيتحكم في حجمها، لازم يبقى ليها حد. server dot js الجديد: limit مِيّة kilobyte، و limitShape middleware على كل الـ requests، و Map للـ users بـ settings من غير prototype، و safeMerge، و isEmail، وشيك isAdmin بـ Object hasOwn. التحدي: اكتب hardening dot js. test dot js فيه خمسة وتلاتين حالة.

تمرين

hardening.js: safeMerge (own keys، ويرفض __proto__ و constructor و prototype، و Object.create(null)، وحد للعمق)، و isEmail بحد للطول و regex من غير nested quantifiers، و checkShape للعمق والـ keys والـ arrays، و limitShape بيرجّع four thirteen.

الحل. safeMerge: Object dot keys، والـ keys الممنوعة بـ throw، وأي object جديد بـ Object create null، والعمق بيتعد. isEmail: الطول الأول، وبعدين regex كل quantifier فيه على character class بحد أقصى، ومفيش group عليه plus وجُوّاه plus. وقته linear. checkShape: function واحدة recursive، وعدّاد keys واحد لكل الـ JSON، مش لكل مستوى. limitShape بيلف عليه في middleware. نشغّل الهجمات تاني.

hardening.js

// hardening.js: merge آمن، و email validation من غير ReDoS، وحدود لشكل الـ JSON

const FORBIDDEN = new Set(["__proto__", "constructor", "prototype"]);
const isPlain = (v) => v !== null && typeof v === "object" && !Array.isArray(v);

// deep merge بس للـ own keys، ومن غير الـ keys الخطيرة، وبحد للعمق
export function safeMerge(target, source, maxDepth = 5, depth = 0) {
  if (depth > maxDepth) throw new Error("العمق كبير");
  for (const key of Object.keys(source)) {
    if (FORBIDDEN.has(key)) throw new Error(`key ممنوع: ${key}`);
    const v = source[key];
    if (isPlain(v)) {
      if (!Object.hasOwn(target, key) || !isPlain(target[key])) target[key] = Object.create(null);
      safeMerge(target[key], v, maxDepth, depth + 1);
    } else target[key] = v;
  }
  return target;
}

// email: طول محدود الأول، وبعدين regex مفيهوش nested quantifiers (وقته linear)
const EMAIL = /^[A-Za-z0-9._%+-]{1,64}@[A-Za-z0-9-]{1,63}(\.[A-Za-z0-9-]{1,63})*\.[A-Za-z]{2,24}$/;
export const isEmail = (s) => typeof s === "string" && s.length <= 254 && EMAIL.test(s);

// بيلف على الـ JSON بعد الـ parse ويرفض أي شكل أكبر من الحدود
export function checkShape(value, { maxDepth = 10, maxKeys = 1000, maxArray = 1000 } = {}) {
  let keys = 0;
  const walk = (v, d) => {
    if (d > maxDepth) throw new Error("JSON عميق زيادة");
    if (Array.isArray(v)) {
      if (v.length > maxArray) throw new Error("array كبيرة زيادة");
      for (const x of v) walk(x, d + 1);
    } else if (v !== null && typeof v === "object") {
      for (const k of Object.keys(v)) {
        if (++keys > maxKeys) throw new Error("keys كتير زيادة");
        walk(v[k], d + 1);
      }
    }
  };
  walk(value, 0);
  return true;
}

// middleware: أي body شكله برّه الحدود ← four thirteen
export const limitShape = (limits) => (req, res, next) => {
  try {
    checkShape(req.body, limits);
    next();
  } catch (e) {
    res.status(413).json({ error: e.message });
  }
};

المخرجات

$ node server.js & S=$!; sleep 1; node attack.js; kill $S
API: http://localhost:3000
قبل: sara admin؟ { user: 'sara', isAdmin: false }
١) بعد settings بتاعة mahmoud: sara admin؟ { user: 'sara', isAdmin: false }
٢) ReDoS بـ 29 حرف: الـ request خد 37ms، والـ health استنى 6ms
٣) JSON 21MB ← 413: خد 77ms، والـ health استنى 6ms

sara لسه مش admin. الـ ReDoS خلص في ملي تانية، والـ health ما استناش. والعشرين ميجا اترفضوا بـ four thirteen قبل الـ parse. ونشغّل test dot js.

hardening.js

المخرجات

$ node server.js & S=$!; sleep 1; node test.js; kill $S
API: http://localhost:3000
✅ safeMerge عادي و nested 
✅ safeMerge بيكمّل على الموجود 
✅ __proto__ من JSON.parse ← throw 
✅ constructor.prototype ← throw 
✅ __proto__ nested ← throw 
✅ Object.prototype نضيف بعد كل ده 
✅ عمق عشرين ← throw 
✅ arrays بتتنسخ زي ما هي 
✅ الـ objects الجديدة من غير prototype 
✅ isEmail([email protected]) ← true 
✅ isEmail([email protected]) ← true 
✅ isEmail([email protected]) ← true 
✅ isEmail("") ← false 
✅ isEmail("abc") ← false 
✅ isEmail("a@b") ← false 
✅ isEmail("@b.co") ← false 
✅ isEmail("a [email protected]") ← false 
✅ isEmail(42) ← false 
✅ isEmail(null) ← false 
✅ email خمسين ألف حرف آخره غلط ← false في أقل من خمسين ms 0.0ms
✅ email طويل جُوّه الحد ← سريع برضه 
✅ checkShape عادي ← true 
✅ عمق خمستاشر ← throw 
✅ array ألفين ← throw 
✅ keys كتير ← throw 
✅ الـ keys بتتعد في كل المستويات 
✅ null و strings و numbers ← true 
✅ server: __proto__ ← 400 و sara لسه مش admin 
✅ server: settings عادية ← two hundred 
✅ server: id اسمه __proto__ ← 404 
✅ server: body أكبر من مية kb ← 413 
✅ server: array ألفين عنصر صغيرين ← 413 
✅ server: JSON بايظ ← 400 
✅ server: ReDoS payload ← false بسرعة 3ms
✅ server: heal
…

كله نجح. وكده خلّصنا قسم الأمن التطبيقي: من الـ cookies والـ CSRF، لحد الـ supply chain والـ AppSec testing. القسم الجاي: الأداء والمراقبة. وأول درس: SLI و SLO. إزاي تقول الـ app سريع ولا بطيء بأرقام، مش بإحساس، و error budgets، وإمتى تصحّى الـ on-call بالليل وإمتى لأ.

server.js

// server.js: نفس الـ API، بس بحدود في كل حتة
import express from "express";
import { safeMerge, isEmail, limitShape } from "./hardening.js";

const app = express();
app.use(express.json({ limit: "100kb" })); // أكبر body معقول للـ API ده
app.use(limitShape({ maxDepth: 10, maxKeys: 1000, maxArray: 1000 }));

// Map بدل object: مفيش __proto__ ولا constructor كـ id
const users = new Map([
  ["u1", { name: "mahmoud", settings: Object.create(null) }],
  ["u2", { name: "sara", settings: Object.create(null) }],
]);

app.patch("/users/:id/settings", (req, res) => {
  const user = users.get(req.params.id);
  if (!user) return res.status(404).json({ error: "مش موجود" });
  try {
    safeMerge(user.settings, req.body);
  } catch (e) {
    return res.status(400).json({ error: e.message });
  }
  res.json(user.settings);
});

app.get("/users/:id/can-delete", (req, res) => {
  const user = users.get(req.params.id);
  if (!user) return res.status(404).json({ error: "مش موجود" });
  res.json({ user: user.name, isAdmin: Object.hasOwn(user, "isAdmin") && user.isAdmin === true });
});

app.post("/subscribe", (req, res) => res.json({ ok: isEmail(req.body.email) }));
app.post("/import", (req, res) => res.json({ rows: req.body.rows?.length ?? 0 }));
app.get("/health", (req, res) => res.json({ ok: true }));

// أي error من express.json (body كبير أو JSON بايظ) ← رد واضح من غير stack
app.use((err, req, res, next) => res.status(err.status ?? 500).json({ error: err.type ?? "error" }));
app.listen(3000, () => console.log("API: http://localhost:3000"));

test.js

import { safeMerge, isEmail, checkShape } from "./hardening.js";

let ok = 0, all = 0;
const check = (name, cond, extra = "") => { all++; if (cond) ok++; console.log(cond ? "✅" : "❌", name, extra); };
const throws = (fn) => { try { fn(); return false; } catch { return true; } };
const URL = "http://localhost:3000";
const send = async (method, path, body) => {
  const r = await fetch(URL + path, { method, headers: { "content-type": "application/json" }, body: typeof body === "string" ? body : JSON.stringify(body) });
  return { status: r.status, json: await r.json().catch(() => null) };
};

check("safeMerge عادي و nested", JSON.stringify(safeMerge({}, { a: 1, b: { c: 2 } })) === '{"a":1,"b":{"c":2}}');
check("safeMerge بيكمّل على الموجود", JSON.stringify(safeMerge({ b: { x: 1 } }, { b: { y: 2 } })) === '{"b":{"x":1,"y":2}}');
check("__proto__ من JSON.parse ← throw", throws(() => safeMerge({}, JSON.parse('{"__proto__":{"polluted":1}}'))));
check("constructor.prototype ← throw", throws(() => safeMerge({}, JSON.parse('{"constructor":{"prototype":{"polluted":1}}}'))));
check("__proto__ nested ← throw", throws(() => safeMerge({}, JSON.parse('{"a":{"__proto__":{"polluted":1}}}'))));
check("Object.prototype نضيف بعد كل ده", ({}).polluted === undefined);
let deep = {}; let cur = deep; for (let i = 0; i < 20; i++) cur = cur.n = {};
check("عمق عشرين ← throw", throws(() => safeMerge({}, deep)));
check("arrays بتتنسخ زي ما هي", JSON.stringify(safeMerge({}, { tags: [1, 2] })) === '{"tags":[1,2]}');
check("الـ objects الجديدة من غير prototype", Object.getPrototypeOf(safeMerge({}, { a: { b: 1 } }).a) === null);

const good = ["a" + "@b.co", "mahmoud.ali" + "@baassma.tech", "x_y-z" + "@mail.example.com"];
for (const e of good) check(`isEmail(${e}) ← true`, isEmail(e) === true);
for (const e of ["", "abc", "a" + "@b", "@b.co", "a b" + "@c.co", 42, null]) check(`isEmail(${JSON.stringify(e)}) ← false`, isEmail(e) === false);
const t0 = performance.now();
const evil = isEmail("a".repeat(50000) + "!");
const ms = performance.now() - t0;
check("email خمسين ألف حرف آخره غلط ← false في أقل من خمسين ms", evil === false && ms < 50, `${ms.toFixed(1)}ms`);
const t1 = performance.now();
isEmail("a".repeat(64) + "@" + "b".repeat(60) + "." + "c".repeat(40) + "!");
check("email طويل جُوّه الحد ← سريع برضه", performance.now() - t1 < 50);

check("checkShape عادي ← true", checkShape({ a: [1, 2, { b: 3 }] }) === true);
let d = []; for (let i = 0; i < 15; i++) d = [d];
check("عمق خمستاشر ← throw", throws(() => checkShape(d, { maxDepth: 10 })));
check("array ألفين ← throw", throws(() => checkShape({ rows: new Array(2000).fill(0) }, { maxArray: 1000 })));
check("keys كتير ← throw", throws(() => checkShape(Object.fromEntries(Array.from({ length: 50 }, (_, i) => ["k" + i, i])), { maxKeys: 20 })));
check("الـ keys بتتعد في كل المستويات", throws(() => checkShape({ a: { b: 1, c: 2 }, d: { e: 3 } }, { maxKeys: 4 })));
check("null و strings و numbers ← true", checkShape(null) && checkShape("x
…

03 / دروس المسار (122)