1. Trước hết
Express.js là một khung ứng dụng web phổ biến cho Node.js cho phép bạn xây dựng các ứng dụng web và API một cách hiệu quả. Phần mềm trung gian là một phần quan trọng của Express.js, cho phép chúng tôi mở rộng chức năng của khung và xử lý các yêu cầu trước khi chúng đến đích cuối cùng. Tuy nhiên, việc triển khai phần mềm trung gian không chính xác hoặc yếu có thể khiến ứng dụng của bạn gặp rủi ro về bảo mật. Trong bài viết này, chúng ta sẽ kiểm tra các lỗ hổng bảo mật khác nhau trong phần mềm trung gian Express.js và giải thích cách giải quyết chúng một cách hiệu quả.
1.1 Phần mềm trung gian Express.js là gì?
Hàm phần mềm trung gian là một tập hợp các hàm cung cấp cho bạn quyền truy cập vào đối tượng yêu cầu (req), đối tượng phản hồi (res) và chức năng phần mềm trung gian tiếp theo trong chu kỳ phản hồi yêu cầu của ứng dụng của bạn. Các chức năng của phần mềm trung gian có thể thực thi mã tùy ý, sửa đổi các đối tượng yêu cầu và phản hồi, đồng thời chấm dứt chu kỳ phản hồi yêu cầu.
2. Các lỗ hổng bảo mật phổ biến trong phần mềm trung gian Express.js
2.1. Tập lệnh chéo trang (XSS)
Cross-site scripting (XSS) là một loại lỗ hổng bảo mật cho phép kẻ tấn công đưa các tập lệnh độc hại vào các trang web được người dùng khác xem. Các ứng dụng Express.js dễ bị tấn công XSS nếu đầu vào của người dùng không được khử trùng và thoát đúng cách trước khi được hiển thị trên trang web.
2.1.1. Giảm thiểu XSS
Thực hiện theo các phương pháp hay nhất này để bảo vệ các ứng dụng Express.js của bạn khỏi các cuộc tấn công XSS.
- Sử dụng một công cụ mẫu như EJS, Pug hoặc Handlebars tự động thoát đầu vào của người dùng theo mặc định.
- Làm sạch đầu vào của người dùng bằng các thư viện như DOMPurify và sanitize-html để xóa mã có thể gây hại.
- Thực thi các tiêu đề Chính sách bảo mật nội dung (CSP) hạn chế nguồn tập lệnh và các tài nguyên khác.
1 2 3 4 5 6 7 8 9 10 11 12 13 14 | <span class="token keyword">const</span> helmet <span class="token operator">=</span> <span class="token function">require</span> <span class="token punctuation">(</span> <span class="token string">'helmet'</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> <span class="token keyword">const</span> express <span class="token operator">=</span> <span class="token function">require</span> <span class="token punctuation">(</span> <span class="token string">'express'</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> <span class="token keyword">const</span> app <span class="token operator">=</span> <span class="token function">express</span> <span class="token punctuation">(</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> app <span class="token punctuation">.</span> <span class="token function">use</span> <span class="token punctuation">(</span> helmet <span class="token punctuation">.</span> <span class="token function">contentSecurityPolicy</span> <span class="token punctuation">(</span> <span class="token punctuation">{</span> directives <span class="token operator">:</span> <span class="token punctuation">{</span> defaultSrc <span class="token operator">:</span> <span class="token punctuation">[</span> <span class="token string">"'self'"</span> <span class="token punctuation">]</span> <span class="token punctuation">,</span> scriptSrc <span class="token operator">:</span> <span class="token punctuation">[</span> <span class="token string">"'self'"</span> <span class="token punctuation">,</span> <span class="token string">"'unsafe-inline'"</span> <span class="token punctuation">]</span> <span class="token punctuation">,</span> imgSrc <span class="token operator">:</span> <span class="token punctuation">[</span> <span class="token string">"'self'"</span> <span class="token punctuation">,</span> <span class="token string">"img.example.com"</span> <span class="token punctuation">]</span> <span class="token punctuation">,</span> styleSrc <span class="token operator">:</span> <span class="token punctuation">[</span> <span class="token string">"'self'"</span> <span class="token punctuation">,</span> <span class="token string">"https://fonts.googleapis.com"</span> <span class="token punctuation">]</span> <span class="token punctuation">,</span> fontSrc <span class="token operator">:</span> <span class="token punctuation">[</span> <span class="token string">"'self'"</span> <span class="token punctuation">,</span> <span class="token string">"https://fonts.gstatic.com"</span> <span class="token punctuation">]</span> <span class="token punctuation">,</span> <span class="token punctuation">}</span> <span class="token punctuation">,</span> <span class="token punctuation">}</span> <span class="token punctuation">)</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> |
2.2. Giả mạo yêu cầu trên nhiều trang web (CSRF)
Cross-Site Request Forgery (CSRF) là một kiểu tấn công đánh lừa người dùng thực hiện các hành động không mong muốn trong ứng dụng web hiện được xác thực. Các ứng dụng Express.js dễ bị tấn công CSRF nếu các biện pháp đối phó chống CSRF thích hợp không được triển khai.
2.2.1.Giảm thiểu CSRF
Để bảo vệ ứng dụng Express.js của tôi khỏi các cuộc tấn công CSRF, tôi sử dụng csurf làm phần mềm trung gian để tạo và xác thực mã thông báo CSRF.
1 2 3 4 5 6 7 8 9 10 11 12 | <span class="token keyword">const</span> express <span class="token operator">=</span> <span class="token function">require</span> <span class="token punctuation">(</span> <span class="token string">'express'</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> <span class="token keyword">const</span> csrf <span class="token operator">=</span> <span class="token function">require</span> <span class="token punctuation">(</span> <span class="token string">'csurf'</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> <span class="token keyword">const</span> cookieParser <span class="token operator">=</span> <span class="token function">require</span> <span class="token punctuation">(</span> <span class="token string">'cookie-parser'</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> <span class="token keyword">const</span> app <span class="token operator">=</span> <span class="token function">express</span> <span class="token punctuation">(</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> app <span class="token punctuation">.</span> <span class="token function">use</span> <span class="token punctuation">(</span> <span class="token function">cookieParser</span> <span class="token punctuation">(</span> <span class="token punctuation">)</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> app <span class="token punctuation">.</span> <span class="token function">use</span> <span class="token punctuation">(</span> <span class="token function">csrf</span> <span class="token punctuation">(</span> <span class="token punctuation">{</span> cookie <span class="token operator">:</span> <span class="token boolean">true</span> <span class="token punctuation">}</span> <span class="token punctuation">)</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> app <span class="token punctuation">.</span> <span class="token function">post</span> <span class="token punctuation">(</span> <span class="token string">'/api/submit'</span> <span class="token punctuation">,</span> <span class="token punctuation">(</span> <span class="token parameter">req <span class="token punctuation">,</span> res</span> <span class="token punctuation">)</span> <span class="token operator">=></span> <span class="token punctuation">{</span> <span class="token comment">// Process the form data</span> <span class="token punctuation">}</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> |
Ngoài ra, mã phía máy khách phải đảm bảo rằng các yêu cầu thay đổi trạng thái như POST, PUT, DELETE và PATCH bao gồm mã thông báo CSRF.
2.3. Tham chiếu đối tượng trực tiếp không an toàn (IDOR)
Tham chiếu đối tượng trực tiếp không an toàn (IDOR) là hiện tượng trong đó một ứng dụng để lộ các mã định danh đối tượng bên trong mà kẻ tấn công có thể thao túng để truy cập dữ liệu trái phép. Nếu không xác thực chính xác đầu vào của người dùng và thực thi các biện pháp kiểm soát truy cập, các ứng dụng Express.js dễ bị tấn công IDOR.
2.3.1. Giảm nhẹ IDOR
Để bảo vệ ứng dụng Express.js của bạn khỏi các cuộc tấn công IDOR:
- Sử dụng UUID hoặc số nhận dạng không tuần tự khác thay vì ID tăng tự động cho ID tài nguyên.
- Triển khai các biện pháp kiểm soát truy cập phù hợp và xác minh rằng người dùng được phép truy cập tài nguyên trước khi trả lại.
- Xác thực đầu vào của người dùng để đảm bảo đầu vào ở định dạng và phạm vi dự kiến.
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 | <span class="token keyword">const</span> express <span class="token operator">=</span> <span class="token function">require</span> <span class="token punctuation">(</span> <span class="token string">'express'</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> <span class="token keyword">const</span> app <span class="token operator">=</span> <span class="token function">express</span> <span class="token punctuation">(</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> app <span class="token punctuation">.</span> <span class="token function">get</span> <span class="token punctuation">(</span> <span class="token string">'/api/resource/:id'</span> <span class="token punctuation">,</span> <span class="token punctuation">(</span> <span class="token parameter">req <span class="token punctuation">,</span> res <span class="token punctuation">,</span> next</span> <span class="token punctuation">)</span> <span class="token operator">=></span> <span class="token punctuation">{</span> <span class="token keyword">const</span> resourceId <span class="token operator">=</span> req <span class="token punctuation">.</span> params <span class="token punctuation">.</span> id <span class="token punctuation">;</span> <span class="token comment">// Validate resourceId format</span> <span class="token keyword">if</span> <span class="token punctuation">(</span> <span class="token operator">!</span> <span class="token function">isValidUUID</span> <span class="token punctuation">(</span> resourceId <span class="token punctuation">)</span> <span class="token punctuation">)</span> <span class="token punctuation">{</span> <span class="token keyword">return</span> res <span class="token punctuation">.</span> <span class="token function">status</span> <span class="token punctuation">(</span> <span class="token number">400</span> <span class="token punctuation">)</span> <span class="token punctuation">.</span> <span class="token function">json</span> <span class="token punctuation">(</span> <span class="token punctuation">{</span> error <span class="token operator">:</span> <span class="token string">'Invalid resource ID format'</span> <span class="token punctuation">}</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> <span class="token punctuation">}</span> <span class="token comment">// Verify user authorization</span> <span class="token keyword">if</span> <span class="token punctuation">(</span> <span class="token operator">!</span> <span class="token function">isUserAuthorized</span> <span class="token punctuation">(</span> req <span class="token punctuation">.</span> user <span class="token punctuation">,</span> resourceId <span class="token punctuation">)</span> <span class="token punctuation">)</span> <span class="token punctuation">{</span> <span class="token keyword">return</span> res <span class="token punctuation">.</span> <span class="token function">status</span> <span class="token punctuation">(</span> <span class="token number">403</span> <span class="token punctuation">)</span> <span class="token punctuation">.</span> <span class="token function">json</span> <span class="token punctuation">(</span> <span class="token punctuation">{</span> error <span class="token operator">:</span> <span class="token string">'Access denied'</span> <span class="token punctuation">}</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> <span class="token punctuation">}</span> <span class="token comment">// Fetch and return the resource</span> <span class="token punctuation">}</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> |
2.4. Cấu hình sai bảo mật
Cấu hình sai bảo mật có thể làm lộ dữ liệu và chức năng nhạy cảm, đồng thời khiến ứng dụng của bạn dễ bị tấn công. Các ứng dụng Express.js có thể bị cấu hình sai bảo mật khi các nhà phát triển không tuân theo các phương pháp hay nhất hoặc định cấu hình ứng dụng và các phần phụ thuộc của nó một cách an toàn.
2.4.1. Giảm thiểu cấu hình sai bảo mật
Để bảo vệ ứng dụng Express.js của bạn khỏi cấu hình sai bảo mật:
- Luôn cập nhật các phần phụ thuộc của bạn và xóa các gói không sử dụng.
- Trong quá trình sản xuất, hãy tắt các thông báo lỗi chi tiết để tránh rò rỉ thông tin.
- Sử dụng phần mềm trung gian mũ bảo hiểm để sử dụng các tiêu đề bảo mật như X-Content-Type-Options, X-Frame-Options, X-XSS-Protection, Strict-Transport-Security.
- Kích hoạt cookie an toàn bằng cờ an toàn và httpOnly.
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 | <span class="token keyword">const</span> express <span class="token operator">=</span> <span class="token function">require</span> <span class="token punctuation">(</span> <span class="token string">'express'</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> <span class="token keyword">const</span> helmet <span class="token operator">=</span> <span class="token function">require</span> <span class="token punctuation">(</span> <span class="token string">'helmet'</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> <span class="token keyword">const</span> app <span class="token operator">=</span> <span class="token function">express</span> <span class="token punctuation">(</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> app <span class="token punctuation">.</span> <span class="token function">use</span> <span class="token punctuation">(</span> <span class="token function">helmet</span> <span class="token punctuation">(</span> <span class="token punctuation">)</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> app <span class="token punctuation">.</span> <span class="token function">use</span> <span class="token punctuation">(</span> express <span class="token punctuation">.</span> <span class="token function">json</span> <span class="token punctuation">(</span> <span class="token punctuation">)</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> app <span class="token punctuation">.</span> <span class="token function">use</span> <span class="token punctuation">(</span> <span class="token punctuation">(</span> <span class="token parameter">err <span class="token punctuation">,</span> req <span class="token punctuation">,</span> res <span class="token punctuation">,</span> next</span> <span class="token punctuation">)</span> <span class="token operator">=></span> <span class="token punctuation">{</span> <span class="token keyword">if</span> <span class="token punctuation">(</span> app <span class="token punctuation">.</span> <span class="token function">get</span> <span class="token punctuation">(</span> <span class="token string">'env'</span> <span class="token punctuation">)</span> <span class="token operator">===</span> <span class="token string">'production'</span> <span class="token punctuation">)</span> <span class="token punctuation">{</span> res <span class="token punctuation">.</span> <span class="token function">status</span> <span class="token punctuation">(</span> <span class="token number">500</span> <span class="token punctuation">)</span> <span class="token punctuation">.</span> <span class="token function">send</span> <span class="token punctuation">(</span> <span class="token string">'Internal Server Error'</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> <span class="token punctuation">}</span> <span class="token keyword">else</span> <span class="token punctuation">{</span> res <span class="token punctuation">.</span> <span class="token function">status</span> <span class="token punctuation">(</span> <span class="token number">500</span> <span class="token punctuation">)</span> <span class="token punctuation">.</span> <span class="token function">send</span> <span class="token punctuation">(</span> err <span class="token punctuation">.</span> stack <span class="token punctuation">)</span> <span class="token punctuation">;</span> <span class="token punctuation">}</span> <span class="token punctuation">}</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> app <span class="token punctuation">.</span> <span class="token function">set</span> <span class="token punctuation">(</span> <span class="token string">'trust proxy'</span> <span class="token punctuation">,</span> <span class="token number">1</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> app <span class="token punctuation">.</span> <span class="token function">use</span> <span class="token punctuation">(</span> <span class="token function">cookieParser</span> <span class="token punctuation">(</span> <span class="token punctuation">)</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> app <span class="token punctuation">.</span> <span class="token function">use</span> <span class="token punctuation">(</span> <span class="token function">session</span> <span class="token punctuation">(</span> <span class="token punctuation">{</span> secret <span class="token operator">:</span> <span class="token string">'your-session-secret'</span> <span class="token punctuation">,</span> resave <span class="token operator">:</span> <span class="token boolean">false</span> <span class="token punctuation">,</span> saveUninitialized <span class="token operator">:</span> <span class="token boolean">true</span> <span class="token punctuation">,</span> cookie <span class="token operator">:</span> <span class="token punctuation">{</span> secure <span class="token operator">:</span> <span class="token boolean">true</span> <span class="token punctuation">,</span> httpOnly <span class="token operator">:</span> <span class="token boolean">true</span> <span class="token punctuation">}</span> <span class="token punctuation">}</span> <span class="token punctuation">)</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> |
2.5. Rò rỉ dữ liệu nhạy cảm
Rò rỉ dữ liệu nhạy cảm xảy ra khi các ứng dụng không bảo vệ đúng cách thông tin nhạy cảm như mật khẩu, số thẻ tín dụng và thông tin cá nhân. Các ứng dụng Express.js dễ bị đánh cắp dữ liệu nhạy cảm nếu bạn không triển khai các kỹ thuật xử lý dữ liệu và mã hóa thích hợp.
2.5.1. Giảm thiểu việc lộ dữ liệu nhạy cảm
Để bảo vệ ứng dụng Express.js của bạn không bị rò rỉ dữ liệu nhạy cảm:
- Sử dụng HTTPS để mã hóa dữ liệu giữa máy khách và máy chủ.
- Lưu trữ mật khẩu bằng thuật toán băm mật khẩu mạnh và thích ứng như bcrypt, Argon2 hoặc scrypt.
- Tránh lưu trữ dữ liệu nhạy cảm trong cookie hoặc bộ lưu trữ phía máy khách khác.
- Giới hạn số lượng dữ liệu nhạy cảm được trả về trong phản hồi API.
1 2 3 4 5 6 7 8 | <span class="token keyword">const</span> bcrypt <span class="token operator">=</span> <span class="token function">require</span> <span class="token punctuation">(</span> <span class="token string">'bcrypt'</span> <span class="token punctuation">)</span> <span class="token punctuation">;</span> <span class="token keyword">const</span> saltRounds <span class="token operator">=</span> <span class="token number">10</span> <span class="token punctuation">;</span> <span class="token keyword">async</span> <span class="token keyword">function</span> <span class="token function">registerUser</span> <span class="token punctuation">(</span> <span class="token parameter">username <span class="token punctuation">,</span> password</span> <span class="token punctuation">)</span> <span class="token punctuation">{</span> <span class="token keyword">const</span> hashedPassword <span class="token operator">=</span> <span class="token keyword">await</span> bcrypt <span class="token punctuation">.</span> <span class="token function">hash</span> <span class="token punctuation">(</span> password <span class="token punctuation">,</span> saltRounds <span class="token punctuation">)</span> <span class="token punctuation">;</span> <span class="token comment">// Save hashedPassword in the database</span> <span class="token punctuation">}</span> |
bản tóm tắt
Bảo mật là ưu tiên hàng đầu của các nhà phát triển khi xây dựng các ứng dụng web. Hiểu các lỗ hổng phần mềm trung gian Express.js phổ biến và triển khai các phương pháp hay nhất có thể giảm đáng kể nguy cơ ứng dụng của bạn bị xâm phạm. Điều quan trọng là luôn cập nhật thông tin về các lỗ hổng mới và các biện pháp bảo mật mới để giữ cho các ứng dụng Express.js của bạn an toàn và đáng tin cậy.
Trong bài viết này, chúng tôi đã thảo luận về các lỗ hổng bảo mật khác nhau trong phần mềm trung gian Express.js và cung cấp các bước cụ thể cũng như các phương pháp hay nhất để giảm thiểu chúng. Chúng bao gồm tạo tập lệnh chéo trang (XSS), giả mạo yêu cầu giữa nhiều trang (CSRF), tham chiếu đối tượng trực tiếp không an toàn (IDOR), cấu hình sai bảo mật và đánh cắp dữ liệu nhạy cảm.
Đối với các biện pháp bảo mật bổ sung, vui lòng thực hiện các hành động sau:
- Vệ sinh và thoát đầu vào của người dùng
- Sử dụng mã thông báo CSRF
- Làm cho số nhận dạng đối tượng khó dự đoán
- thực hiện kiểm soát truy cập thích hợp
- Đặt tiêu đề bảo mật
- Cải thiện tính bảo mật của các ứng dụng Express.js của bạn bằng cách thực thi các phương pháp hay nhất về mã hóa và bảo vệ dữ liệu là rất quan trọng đối với sự tin tưởng của người dùng và thành công trong kinh doanh. Bằng cách áp dụng các biện pháp này, bạn có thể làm cho ứng dụng của mình an toàn hơn và giảm thiểu rủi ro về lỗ hổng bảo mật.
cuối cùng
Tôi luôn mắc nợ. Tôi hy vọng bạn thích bài viết này và học được một cái gì đó mới.
Hẹn gặp lại các bạn trong bài viết tiếp theo! Nếu bạn thích bài viết này, hãy nhấn “THÍCH” và đăng ký để ủng hộ tôi. Cảm ơn rất nhiều.