26

Yo sé que por años, no ha existido ninguna manera de usar eval en JavaScript sin conceder acceso a toda la aplicación al código ejecutado en el eval. Por lo que no es posible usar eval con código posiblemente no confiable. Es por ello que la opción de unsafe-eval existe en CSP (content security policy), por ejemplo.

Mi pregunta es ¿Ya existe un modo para hacer más seguro el eval? ¿Quizás con ECMAScript 5 o 6?

En un aplicación nueva, me gustaría permitir usuarios usar el eval, sin concederles todos los permisos. Lo ideal será que solo pudieran interactuar con un parte específica del DOM, y variables locales.

¿Es un sueño?

3 respuestas 3

17

La solución para conseguir un entorno realmente aislado podría ser la que usan herramientas online tipo http://jsbin.com o http://jsfiddle.net.

Pasa por usar iframes y dentro del frame devolver el código en una etiqueta script (no es necesario el eval). En ese caso se aplican las políticas de mismo origen (same-origin policy), con lo que se deberá servir el código huésped (la página web externa) bajo un dominio o subdominio diferente de la página invitada (la que contiene el código que se quiere ejecutar de forma aislada).

Ejemplo:

Huésped: en el dominio safe.domain.com
<html>
    <body>
    <!-- código de la aplicación huesped -->
    <iframe src="//sandbox.domain.com">
    </body>
</html>

Invitado: en el dominio sandbox.domain.com
<html>
    <body>
        <script>
             <!-- Script de origen no seguro -->
        </script>
    </body>
</html>

El código script no seguro se subiría de por parte de los usuarios una DB (por ejemplo), y se devolvería de forma dinámica desde el dominio sandbox.domain.com en el ejemplo.

Nota:

De esta forma, no se podría interactuar con el resultado del código ejecutado en el frame invitado.

5
+50

Propuesta HTML5 (IE10+)

El atributo sandbox del elemento iframe nos da exactamente lo que necesitamos para ajustar las restricciones sobre el contenido enmarcado. Podemos instruir al navegador para que cargue el contenido de un iframe específico en un entorno de privilegios bajos.

Utilizando sandbox="allow-scripts" sobre un iframe, habilitamos al documento enmarcado la posibilidad de ejecutar JavaScript (pero no de crear popups).

Cuando el documento enmarcado tiene el mismo origen que la página principal, se recomienda encarecidamente que no utilicemos allow-scripts y allow-same-origin al mismo tiempo, ya que esto permitiria que el documento enmarcado elimine, mediante programación, el atributo sandbox.

Aprovechando la API postMessage, el documento padre y el enmarcado pueden intermediar la comunicación entre ellos publicando mensajes y escuchando respuestas.

Ejemplo:

Archivo index.html:

<!-- Documento padre -->
<!DOCTYPE html>
<html>
  <head>
    <style>
    textarea {
      display: block;
      width: 300px;
      height: 150px;
    }
    iframe {
      display: none;
    }
    </style>
  </head>
  <body>
    <textarea id="codigo">
function sumar(a, b) {
  return a + b;
}

sumar(1, 2);
    </textarea>
    <button id="ejecutar">Ejecutar</button>
    <iframe id="sandbox" src="sandbox.html" sandbox="allow-scripts"></iframe>
    <script>
      var sandbox = document.getElementById('sandbox');
      var codigo = document.getElementById('codigo');
      // Suscribimos al click del boton
      document.getElementById('ejecutar').addEventListener('click', function () {
        // Enviamos el mensaje sin especificar el origen (*)
        sandbox.contentWindow.postMessage(codigo.value, '*');
      });
      // Escuchamos la respuesta del frame
      window.addEventListener('message', function (evt) {
        // Normalmente se debe verificar el origen del mensaje es de la fuente esperada
        if (evt.data && (
          (evt.origin === "null" && evt.source === sandbox.contentWindow) || 
          evt.origin === (window.location.protocol + "//" + window.location.host))
        ) {
          alert('Result: ' + evt.data);
        }
      });
    </script>
  </body>
</html>

Archivo sandbox.html:

<!-- Documento enmarcado -->
<!DOCTYPE html>
<html>
  <head>
    <script>
      window.addEventListener('message', function (evt) {
        // Se debe validar que el origen del mensaje sea el esperado.
        // En este caso esperamos que sea el mismo origen.
        if (evt.origin !== (window.location.protocol + "//" + window.location.host)) {
          return;
        }
        var resultado = '';
        try {
          resultado = eval(evt.data);
        } catch (e) {
          resultado = 'eval() arrojo una excepción.';
        }
        evt.source.postMessage(resultado, evt.origin);
      });
    </script>
  </head>
</html>

El código evaluado no tiene acceso a información sensible como cookies, no tiene acceso al DOM del documento padre, no puede cargar complementos, abrir ventanas nuevas o cualquiera de otras actividades molestas o maliciosas.

Lectura recomendada:

Play safely in sandboxed IFrames (en Ingles)

4

Mozzilla está trabajando en los XPCOM, que son similares a loa COM de Windows, para permitir ejecutar ese tipo de sentencias en un Sandbox personalizado mediante la función evalInSandbox

Mientras no esté listo, la opción más viable de momento es generar el contenido a evaluar mediante un parsing excesivamente restrictivo y con salida extremadamente limitada en cuanto a tags aceptables, pues incluso el url's e imágenes se puede agregar código ejecutable, y muy importante es el idealmente no procesar javascript, pues si se hace inserción se corre el riesgo de que se ejecute al hacer F5, incluso antes de ser evaluado.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.