Problème de sécurité JavaScript

Question

Je veux savoir comment la fonction suivante définit l'élément 'this' et extrait la cellule du tableau? S'il vous plaît.

//my secure code 
 
var priv = ['item-0','item-1']; 
 
var api = {push: function(x){priv.push(x)}} 
 

 
api.store = function(i,x){priv[i] = x} 
 

 
//the attaker script 
 
var result; 
 
api.store('push',function(){result = this[0]}); 
 
api.push(); 
 

 
//the result is cell 0 of private array 
 
//how? 
 
//if i change the 'push' parameter then the result is empty! 
 
document.write(result)

Answer 1

Ce qui se passe est que api.store('push',function(){result = this[0]}); remplace la méthode push du tableau priv. Cela signifie qu'après cette ligne push n'est plus la méthode push que javascript fournit nativement mais la fonction personnalisée des attaquants, qui est function(){result = this[0]}. Maintenant, lorsque vous appelez api.push(), il appelle priv.push(x) qui a été remplacé. Puisque push est appelé sur un objet, this est lié à l'objet, qui est priv (plus sur cela in the MDN article on this). Par conséquent, result = this[0] est égal à result = priv[0] et le résultat contiendra la première entrée du tableau.