标签:#Node.js

• eval 与代码注入实战：PHP/Python/Node.js 三语言危险函数全利用

  2026/8/6 · 命令执行 · 0 次阅读

  深入三种主流语言的 eval 注入利用技术，覆盖闭合技巧、绕过过滤、无字母数字 Payload、命令执行构造、反弹 Shell、文件写入等实战场景，附每种语言的完整 PoC 与绕过技巧。

  #Code Injection #Node.js #PHP #Python #RCE #eval #实战

  阅读全文 →

• Node.js child_process 深度利用：exec/spawn 参数注入与 vm 沙箱逃逸全流程

  2026/8/6 · 命令执行 · 0 次阅读

  系统讲解 Node.js child_process 模块的 exec、execFile、spawn、fork 四种方法在安全上的差异，覆盖命令注入利用、参数注入绕过、vm 模块沙箱逃逸、require/process 获取技巧，附带 Express/Koa 实战漏洞场景和完整反弹 Shell Payload。

  #Node.js #RCE #child_process #exec #spawn #实战 #沙箱逃逸

  阅读全文 →

• Express / Node.js 安全最佳实践：从原型污染到 helmet 中间件的完整加固清单

  2026/8/6 · 框架安全 · 0 次阅读

  Node.js 生态的安全隐患集中在：npm 依赖供应链攻击、原型污染、NoSQL 注入、JWT 密钥硬编码、CORS 配置错误、路径遍历、eval 使用等。本文给出 Express 项目安全加固 checklist，包含可直接复制的 helmet/rate-limit/cors 配置、原型污染 PoC、npm 供应链防护、以及 OWASP Top 10 映射。

  #Express #NoSQL注入 #Node.js #helmet #npm audit #原型污染 #安全中间件

  阅读全文 →