Cómo se hackean las aplicaciones React en el mundo real

Rate this content
Bookmark

React tiene un gran estándar de seguridad por defecto, pero si no prestas mucha atención a los detalles, podrías quemarte con algunas de las APIs de escape hatches, o incluso simplemente pasando props de manera insegura a los componentes. Te enseñaré cómo evitar estos escollos.

This talk has been presented at React Summit 2022, check out the latest edition of this React Conference.

FAQ

Si descubres una vulnerabilidad XSS en React, debes intentar reproducir el problema, identificar la fuente de la entrada no segura y aplicar las medidas de sanitización necesarias. Es importante actualizar y parchear todas las dependencias y bibliotecas relevantes.

Para prevenir vulnerabilidades XSS en React, es crucial sanitizar y validar todas las entradas de usuario, especialmente aquellas que interactúan con HTML o atributos HTML. Utilizar bibliotecas de saneamiento y seguir las mejores prácticas de codificación segura también son medidas recomendadas.

React JSON pretty es un paquete npm que permite mostrar JSON de manera legible en aplicaciones React. Aunque es ampliamente utilizado, es crucial revisar si el paquete maneja correctamente la codificación de salida para evitar vulnerabilidades XSS, especialmente si el JSON puede incluir entradas de usuario.

La codificación de contexto es importante en React porque asegura que cualquier entrada de usuario se maneje de manera segura según el contexto en el que se utilice, como dentro de atributos HTML. Esto es clave para prevenir ataques XSS donde los atacantes podrían explotar entradas no codificadas adecuadamente.

Una vulnerabilidad XSS (Cross-Site Scripting) en React ocurre cuando un atacante logra insertar scripts maliciosos en la aplicación, usualmente a través de entradas de usuario no sanitizadas que React no codifica automáticamente en ciertos contextos, como los atributos HTML.

React es seguro por defecto en muchos aspectos, ya que realiza la codificación de salida de texto. Sin embargo, no siempre sanitiza o codifica adecuadamente las entradas en todos los contextos, por lo que es posible que existan vulnerabilidades XSS si no se manejan adecuadamente las entradas de usuario.

Liran Tal
Liran Tal
7 min
17 Jun, 2022

Comments

Sign in or register to post your comment.
Video Summary and Transcription
Cómo hackear una aplicación React en vivo de RealWorld en siete minutos. Consejos, mejores prácticas y escollos al escribir código React. XSS y cross-site scripting en React. React es seguro por defecto, pero no siempre. Lo primero a descubrir: agregar un enlace a una aplicación React. Vulnerabilidad del código React: cross-site scripting con enlace de Twitter. React no sanitiza ni genera atributos H ref. Intentos de solución: detectar JavaScript, usar hashtag ficticio, transición a minúsculas. Explotación del corrector de control. Mejores prácticas: evitar el enfoque negacionista, sanitizar las entradas de usuario. Falta de sanitización y codificación de salida de React para entradas de usuario. Explorando vulnerabilidades XSS y la necesidad de pretty print JSON. El paquete React JSON pretty y sus posibles riesgos de XSS. La importancia de la codificación de contexto y las prácticas de codificación segura.

1. React Application Hacking and XSS

Short description:

Cómo hackear una aplicación React en vivo de RealWorld en siete minutos. Consejos, mejores prácticas y errores comunes al escribir código React. XSS y cross-site scripting en React. React es seguro por defecto, pero no siempre. Lo primero que hay que descubrir: añadir un enlace a una aplicación React.

¿Cómo te gustaría hackear una aplicación React en vivo de RealWorld? Así que comencemos y veamos cómo lo hacemos en siete minutos. Intentaré darte tantos consejos y mejores prácticas como pueda y mostrarte dónde están los errores comunes cuando escribes código React.

Así que mi nombre es Iruntal, soy un defensor de desarrolladores en Snyk donde ayudamos a los desarrolladores a construir software seguro. Tengo un montón de cosas alrededor de OWASP y Node.js y la investigación de seguridad que estoy haciendo por mi cuenta. Si tienes alguna pregunta o quieres ayudarme a hacer algo de eso también, solo contáctame después y estaré feliz de charlar contigo y haremos algunas cosas juntos.

Entonces, ¿cómo haces vulnerabilidades de React en vivo? Así que esencialmente, piensa en XSS. Y pasaré por esto muy rápidamente. Como, ¿por qué estoy hablando de XSS y cross-site scripting cuando tenemos React y modernos frameworks de front-end? Así que considera este ejemplo de código, que tiene el primer nombre con alguna imagen XSS y el primer nombre es entrada del usuario, ¿verdad? Fluye en tu JSX así, y React produce algo como esto. Hasta ahora, todo bien. Cosas básicas. Funciona. De hecho, React produce esto y no la otra cosa que viste antes. Estos se llaman entidades HTML, y permite al navegador entender que estos son triángulos laterales izquierdo, triángulo derecho con el menor que, mayor que, y todas esas cosas. Y así el navegador entiende que quieres imprimirlo y mostrarte esto. Así que, como, cosas básicas.

Pero React es seguro por defecto. O seguro por defecto, esto es esencialmente lo que significa. Está haciendo codificación de salida. Bueno, ¿y si te dijera que a veces hace eso? No todo el tiempo. Y ahí es donde las cosas se ponen muy complicadas. Así que descubramos la primera cosa. Toma uno. Quiero añadir un enlace a una aplicación React. Así que imagina que esta es mi aplicación y la estoy construyendo en el lado derecho. Y hay una historia de usuario, ¿verdad? Los gerentes de producto ponen una historia de usuario. Quieres añadir enlaces de Twitter. Tiene sentido. Añadí un enlace de Twitter. Puedes ver la entrada. Esencialmente tengo mi enlace de Twitter llegando, tal vez en, como, una retroalimentación JSON desde el back end o en otro lugar.

2. React Code Vulnerability and Best Practices

Short description:

Vulnerabilidad del código React: cross-site scripting con enlace de Twitter. React no sanitiza ni codifica atributos H ref. Intentos de solución: detectar JavaScript, usar hashtag ficticio, transición a minúsculas. Explotación del corrector de control. Mejores prácticas: evitar enfoque negacionista, sanitizar entradas de usuario.

Y tengo mi código React con un componente. Hay un botón en él. H ref. Le doy el enlace de Twitter. ¿Hasta ahora todo bien? Veamos.

Bueno, esencialmente, si esto fluye en el enlace de Twitter tal cual, eso es un cross-site scripting vulnerabilidad. Así que si hiciste eso, y realmente la entrada del usuario para el enlace de Twitter fue la siguiente, obtendrías un popup de alerta. Este es código React simple. No hice nada excepto mostrarte el código de lo que realmente sucede. El problema es que React no sanitiza ni codifica en salida esos atributos H ref.

Así que intentemos solucionarlo. Tal vez intentemos solucionarlo y hacer algo como, bueno, detectaré todo ese JavaScript y dos puntos lo que sea que venga allí, índice de, ¿verdad? Estoy detectando y comenzando con esto en lugar de estar en otro lugar en la URL. Voy a solucionarlo con algún hashtag ficticio. Así que hago eso, pero luego... Eso no funciona porque los hackers son inteligentes, así que intentan diferentes maneras de probar la aplicación.

Así que tal vez estoy pensando, bueno, ¿sabes qué? Intentaré solucionarlo con una minúscula. Así que haré la transición de todo a minúsculas y luego los igualaré. ¿De acuerdo? Así que hice esto. Muy simple. Lo paso a producción. Probé. Funciona. Pero luego alguien entra y hace algo como esto. ¿De acuerdo? Esto es un corrector de control. Si alguien introduce esto, significa esencialmente el fin del medio, el fin de la línea. Esta es una manera para que alguien lo introduzca. Y así, toda esa cosa simplemente termina no funcionando. Así que enlaces en aplicaciones React. Piensa en el hecho de que las mejores prácticas aquí no hacen negacionismo, ¿de acuerdo? Están tratando de averiguar cómo eliminarlo. También piensa en cosas como sanitizar las entradas de usuario donde debería ser.

Check out more articles and videos

We constantly think of articles and videos that might spark Git people interest / skill us up or help building a stellar career

Una Guía del Comportamiento de Renderizado de React
React Advanced 2022React Advanced 2022
25 min
Una Guía del Comportamiento de Renderizado de React
Top Content
This transcription provides a brief guide to React rendering behavior. It explains the process of rendering, comparing new and old elements, and the importance of pure rendering without side effects. It also covers topics such as batching and double rendering, optimizing rendering and using context and Redux in React. Overall, it offers valuable insights for developers looking to understand and optimize React rendering.
Construyendo Mejores Sitios Web con Remix
React Summit Remote Edition 2021React Summit Remote Edition 2021
33 min
Construyendo Mejores Sitios Web con Remix
Top Content
Remix is a web framework built on React Router that focuses on web fundamentals, accessibility, performance, and flexibility. It delivers real HTML and SEO benefits, and allows for automatic updating of meta tags and styles. It provides features like login functionality, session management, and error handling. Remix is a server-rendered framework that can enhance sites with JavaScript but doesn't require it for basic functionality. It aims to create quality HTML-driven documents and is flexible for use with different web technologies and stacks.
Compilador React Forget - Entendiendo React Idiomático
React Advanced 2023React Advanced 2023
33 min
Compilador React Forget - Entendiendo React Idiomático
Top Content
Joe Savona
Mofei Zhang
2 authors
The Talk discusses React Forget, a compiler built at Meta that aims to optimize client-side React development. It explores the use of memoization to improve performance and the vision of Forget to automatically determine dependencies at build time. Forget is named with an F-word pun and has the potential to optimize server builds and enable dead code elimination. The team plans to make Forget open-source and is focused on ensuring its quality before release.
Uso efectivo de useEffect
React Advanced 2022React Advanced 2022
30 min
Uso efectivo de useEffect
Top Content
Today's Talk explores the use of the useEffect hook in React development, covering topics such as fetching data, handling race conditions and cleanup, and optimizing performance. It also discusses the correct use of useEffect in React 18, the distinction between Activity Effects and Action Effects, and the potential misuse of useEffect. The Talk highlights the benefits of using useQuery or SWR for data fetching, the problems with using useEffect for initializing global singletons, and the use of state machines for handling effects. The speaker also recommends exploring the beta React docs and using tools like the stately.ai editor for visualizing state machines.
Enrutamiento en React 18 y más allá
React Summit 2022React Summit 2022
20 min
Enrutamiento en React 18 y más allá
Top Content
Routing in React 18 brings a native app-like user experience and allows applications to transition between different environments. React Router and Next.js have different approaches to routing, with React Router using component-based routing and Next.js using file system-based routing. React server components provide the primitives to address the disadvantages of multipage applications while maintaining the same user experience. Improving navigation and routing in React involves including loading UI, pre-rendering parts of the screen, and using server components for more performant experiences. Next.js and Remix are moving towards a converging solution by combining component-based routing with file system routing.
(Más fácil) Visualización interactiva de datos en React
React Advanced 2021React Advanced 2021
27 min
(Más fácil) Visualización interactiva de datos en React
Top Content
This Talk is about interactive data visualization in React using the Plot library. Plot is a high-level library that simplifies the process of visualizing data by providing key concepts and defaults for layout decisions. It can be integrated with React using hooks like useRef and useEffect. Plot allows for customization and supports features like sorting and adding additional marks. The Talk also discusses accessibility concerns, SSR support, and compares Plot to other libraries like D3 and Vega-Lite.

Workshops on related topic

Masterclass de Depuración de Rendimiento de React
React Summit 2023React Summit 2023
170 min
Masterclass de Depuración de Rendimiento de React
Top Content
Featured WorkshopFree
Ivan Akulov
Ivan Akulov
Los primeros intentos de Ivan en la depuración de rendimiento fueron caóticos. Vería una interacción lenta, intentaría una optimización aleatoria, vería que no ayudaba, y seguiría intentando otras optimizaciones hasta que encontraba la correcta (o se rendía).
En aquel entonces, Ivan no sabía cómo usar bien las herramientas de rendimiento. Haría una grabación en Chrome DevTools o React Profiler, la examinaría, intentaría hacer clic en cosas aleatorias, y luego la cerraría frustrado unos minutos después. Ahora, Ivan sabe exactamente dónde y qué buscar. Y en esta masterclass, Ivan te enseñará eso también.
Así es como va a funcionar. Tomaremos una aplicación lenta → la depuraremos (usando herramientas como Chrome DevTools, React Profiler, y why-did-you-render) → identificaremos el cuello de botella → y luego repetiremos, varias veces más. No hablaremos de las soluciones (en el 90% de los casos, es simplemente el viejo y regular useMemo() o memo()). Pero hablaremos de todo lo que viene antes - y aprenderemos a analizar cualquier problema de rendimiento de React, paso a paso.
(Nota: Esta masterclass es más adecuada para ingenieros que ya están familiarizados con cómo funcionan useMemo() y memo() - pero quieren mejorar en el uso de las herramientas de rendimiento alrededor de React. Además, estaremos cubriendo el rendimiento de la interacción, no la velocidad de carga, por lo que no escucharás una palabra sobre Lighthouse 🤐)
Aventuras de Renderizado Concurrente en React 18
React Advanced 2021React Advanced 2021
132 min
Aventuras de Renderizado Concurrente en React 18
Top Content
Featured WorkshopFree
Maurice de Beijer
Maurice de Beijer
Con el lanzamiento de React 18 finalmente obtenemos el tan esperado renderizado concurrente. Pero, ¿cómo va a afectar eso a tu aplicación? ¿Cuáles son los beneficios del renderizado concurrente en React? ¿Qué necesitas hacer para cambiar al renderizado concurrente cuando actualices a React 18? ¿Y qué pasa si no quieres o no puedes usar el renderizado concurrente todavía?

¡Hay algunos cambios de comportamiento de los que debes estar al tanto! En esta masterclass cubriremos todos esos temas y más.

Acompáñame con tu portátil en esta masterclass interactiva. Verás lo fácil que es cambiar al renderizado concurrente en tu aplicación React. Aprenderás todo sobre el renderizado concurrente, SuspenseList, la API startTransition y más.
Consejos sobre React Hooks que solo los profesionales conocen
React Summit Remote Edition 2021React Summit Remote Edition 2021
177 min
Consejos sobre React Hooks que solo los profesionales conocen
Top Content
Featured Workshop
Maurice de Beijer
Maurice de Beijer
La adición de la API de hooks a React fue un cambio bastante importante. Antes de los hooks, la mayoría de los componentos tenían que ser basados en clases. Ahora, con los hooks, estos son a menudo componentes funcionales mucho más simples. Los hooks pueden ser realmente simples de usar. Casi engañosamente simples. Porque todavía hay muchas formas en las que puedes equivocarte con los hooks. Y a menudo resulta que hay muchas formas en las que puedes mejorar tus componentes con una mejor comprensión de cómo se puede usar cada hook de React.Aprenderás todo sobre los pros y los contras de los diversos hooks. Aprenderás cuándo usar useState() versus useReducer(). Veremos cómo usar useContext() de manera eficiente. Verás cuándo usar useLayoutEffect() y cuándo useEffect() es mejor.
React, TypeScript y TDD
React Advanced 2021React Advanced 2021
174 min
React, TypeScript y TDD
Top Content
Featured WorkshopFree
Paul Everitt
Paul Everitt
ReactJS es extremadamente popular y, por lo tanto, ampliamente soportado. TypeScript está ganando popularidad y, por lo tanto, cada vez más soportado.

¿Los dos juntos? No tanto. Dado que ambos cambian rápidamente, es difícil encontrar materiales de aprendizaje precisos.

¿React+TypeScript, con los IDEs de JetBrains? Esa combinación de tres partes es el tema de esta serie. Mostraremos un poco sobre mucho. Es decir, los pasos clave para ser productivo, en el IDE, para proyectos de React utilizando TypeScript. En el camino, mostraremos el desarrollo guiado por pruebas y enfatizaremos consejos y trucos en el IDE.
Masterclass Web3 - Construyendo Tu Primer Dapp
React Advanced 2021React Advanced 2021
145 min
Masterclass Web3 - Construyendo Tu Primer Dapp
Top Content
Featured WorkshopFree
Nader Dabit
Nader Dabit
En esta masterclass, aprenderás cómo construir tu primer dapp de pila completa en la blockchain de Ethereum, leyendo y escribiendo datos en la red, y conectando una aplicación de front end al contrato que has desplegado. Al final de la masterclass, entenderás cómo configurar un entorno de desarrollo de pila completa, ejecutar un nodo local e interactuar con cualquier contrato inteligente usando React, HardHat y Ethers.js.
Diseñando Pruebas Efectivas con la Biblioteca de Pruebas de React
React Summit 2023React Summit 2023
151 min
Diseñando Pruebas Efectivas con la Biblioteca de Pruebas de React
Top Content
Featured Workshop
Josh Justice
Josh Justice
La Biblioteca de Pruebas de React es un gran marco para las pruebas de componentes de React porque responde muchas preguntas por ti, por lo que no necesitas preocuparte por esas preguntas. Pero eso no significa que las pruebas sean fáciles. Todavía hay muchas preguntas que tienes que resolver por ti mismo: ¿Cuántas pruebas de componentes debes escribir vs pruebas de extremo a extremo o pruebas de unidad de nivel inferior? ¿Cómo puedes probar una cierta línea de código que es difícil de probar? ¿Y qué se supone que debes hacer con esa persistente advertencia de act()?
En esta masterclass de tres horas, presentaremos la Biblioteca de Pruebas de React junto con un modelo mental de cómo pensar en el diseño de tus pruebas de componentes. Este modelo mental te ayudará a ver cómo probar cada bit de lógica, si debes o no simular dependencias, y ayudará a mejorar el diseño de tus componentes. Te irás con las herramientas, técnicas y principios que necesitas para implementar pruebas de componentes de bajo costo y alto valor.
Tabla de contenidos- Los diferentes tipos de pruebas de aplicaciones de React, y dónde encajan las pruebas de componentes- Un modelo mental para pensar en las entradas y salidas de los componentes que pruebas- Opciones para seleccionar elementos DOM para verificar e interactuar con ellos- El valor de los mocks y por qué no deben evitarse- Los desafíos con la asincronía en las pruebas de RTL y cómo manejarlos
Requisitos previos- Familiaridad con la construcción de aplicaciones con React- Experiencia básica escribiendo pruebas automatizadas con Jest u otro marco de pruebas unitarias- No necesitas ninguna experiencia con la Biblioteca de Pruebas de React- Configuración de la máquina: Node LTS, Yarn