【Academy】 NoSQL 注入 ------ NoSQL injection

---

概述

  NoSQL注入是指攻击者能够干扰应用程序对NoSQL数据库的查询的操作。NoSQL注入可能使攻击者能够：

• 绕过身份验证或保护机制。
• 提取或编辑数据。
• 造成拒绝服务。
• 在服务器上执行代码。

NoSQL数据库以不同于传统SQL关系表的格式存储和检索数据。它们使用广泛的查询语言，而不是像SQL这样的通用标准，并且具有更少的关系约束。

---

１．NoSQL数据库

 NoSQL数据库以不同于传统SQL关系表的格式存储和检索数据。它们旨在处理大量非结构化或半结构化数据。因此，它们通常比SQL具有更少的关系约束和一致性检查，并声称在可伸缩性，灵活性和性能方面具有显着的优势。
与SQL数据库一样，用户使用应用程序传递给数据库的查询与NoSQL数据库中的数据进行交互。然而，不同的NoSQL数据库使用广泛的查询语言，而不是像SQL（结构化查询语言）这样的通用标准。这可能是一种自定义查询语言，也可能是一种通用语言，如XML或JSON。

---

1.1 NoSQL 数据库模型

NoSQL数据库有很多种。为了检测 NoSQL 数据库中的漏洞，了解模型框架和语言会有所帮助。
一些常见的NoSQL数据库类型包括：

• 文档存储-这些存储在灵活的半结构化文档中的数据。它们通常使用JSON、BSON和XML等格式，并以API或查询语言进行查询。例如MongoDB和Couchbase。
• 键值存储-这些存储数据的键值格式。每个数据字段都与一个唯一的键字符串相关联。根据唯一键检索值。例如Redis和Amazon DynamoDB。
• 宽列存储-这些存储将相关数据组织到灵活的列族中，而不是传统的行中。例如Apache Cassandra和Apache HBase。
• 图形数据库-这些数据库使用节点来存储数据实体，使用边来存储实体之间的关系。例如Neo4j和Amazon Neptune。

---

２．NoSQL注入的类型

有两种不同类型的NoSQL注入：

• 语法注入-当您可以打破NoSQL查询语法时，会发生这种情况，使您能够注入自己的有效负载。该方法类似于SQL注入中使用的方法。然而，攻击的性质差异很大，因为NoSQL数据库使用一系列查询语言，查询语法类型和不同的数据结构。
• 操作符注入-当您可以使用NoSQL查询操作符来操作查询时会发生这种情况。
  在本文中，将了解如何测试NoSQL漏洞，然后重点关注MongoDB中的漏洞，MongoDB是最流行的NoSQL数据库。

---

３．NoSQL语法注入

您可以通过尝试破坏查询语法来检测NoSQL注入漏洞。要做到这一点，系统地测试每个输入，提交模糊字符串和特殊字符，如果它们没有被应用程序充分清理或过滤，则会触发数据库错误或其他一些可检测的行为。
如果您知道目标数据库的API语言，请使用与该语言相关的特殊字符和模糊字符串。否则，使用各种模糊字符串来针对多个API语言。

---

3.1在MongoDB中检测语法注入

考虑一个以不同类别显示产品的购物应用程序。当用户选择Fizzy饮料类别时，他们的浏览器请求以下URL：

https://insecure-website.com/product/lookup?category=fizzy

这会导致应用程序发送一个JSON查询，从MongoDB数据库中的product集合中检索相关产品：

this.category == 'fizzy'

要测试输入是否易受攻击，请在category参数的值中提交一个模糊字符串。MongoDB的一个示例字符串是：

'"`{
;$Foo}
$Foo \xYZ

使用此模糊字符串构造以下攻击：

https://insecure-website.com/product/lookup?category='%22%60%7b%0d%0a%3b%24Foo%7d%0d%0a%24Foo%20%5cxYZ%00

如果这导致原始响应发生变化，则可能表明用户输入未被正确过滤或清理。

注意
NoSQL注入漏洞可能发生在各种上下文中，您需要相应地调整模糊字符串。否则，您可能只是触发验证错误，这意味着应用程序永远不会执行您的查询。
在本例中，我们通过URL注入模糊字符串，因此字符串是URL编码的。在某些应用程序中，您可能需要通过JSON属性注入负载。在这种情况下，此有效负载将变为

'\"`{\r;$Foo}\n$Foo \\xYZ\u0000

---

3.1.1确定要处理的字符

若要确定应用程序将哪些字符解释为语法，可以注入单个字符。例如，您可以提交'，这将导致以下MongoDB查询：

this.category == '''

如果这导致原始响应发生变化，则可能表明'字符破坏了查询语法并导致语法错误。您可以通过在输入中提交有效的查询字符串来确认这一点，例如通过转义引号：

this.category == '\''

如果这不会导致语法错误，这可能意味着应用程序容易受到注入攻击。

---

3.1.2确认条件行为

检测到漏洞后，下一步是确定您是否可以使用NoSQL语法影响布尔条件。
为了测试这一点，发送两个请求，一个带有false条件，另一个带有true条件。例如，你可以使用条件语句' && 0 && 'x和' && 1 && 'x如下：

https://insecure-website.com/product/lookup?category=fizzy'+%26%26+0+%2