MongoDB操作&&注入漏洞&&未授权访问漏洞

2019 年 10 月 8 日
笔记

注入不止有传统的SQL数据库，NoSQL型数据库也一样存在注入漏洞，在比赛中跟传统的注入相比也算新题型，不少同学可能还不太了解，本文向大家科普MongoDB数据库的常见操作以及攻击的方法——NoSQL注入和未授权访问

MongoDB简介

在 MongoDB中，没有 表、列的概念，取而代之的是 集合(collection)、文档(document)

库（DB）：
数据库，包含多个集合
集合（Collection）：
一组文档
文档（Document）：
键值对的一个有序集，即有序的哈希表

MongoDB内置 JavaScript解释器，它的文档是 JS中的对象( {...})，就是那种没成员函数的对象

MongoDB默认运行于 27017端口

MongoDB以 BSON格式保存数据，即 BinaryJson

简单操作

CRUD操作

文档插入后会自动添加一个 _id属性，为唯一标识符 {"_id":ObjectId("56064886ade2f21f36b03134")}

Create

创建数据库

> use [newdbname]        //不存在则会创建

创建collections

db.createCollection()

创建集合

集合的 insert方法，插入单个文档

db.collection.insert({      key1: value1,      ley2: value2  })

Read

集合的 find方法，第一个参数是用来确定返回的文档，第二个参数确定返回的键值的过滤条件

db.collection.find()    // 返回全部文档  db.collection.find({"age": 20})        // 按条件查询  db.collection.find({      "age": 20,      "name": "iv4n"  })        // condition1 && condition2

查询条件

$lt	$lte	$gt	$gte	$ne
<	<=	>	>=	!=

db.collection.find({      "age": {"$gt": 18, "$lt": 30}  })            // 返回年龄18< <30

$in	$nin	$or	$not	$size
指定列表，成员可为不同类型	不在列表中	条件逻辑或	元操作符，可用于其余任何条件	大小

db.collection.find({      "number": {"$in": [1, 2, 3]}  })  db.collection.find({      "$or": [{key1: value1}, {key2: value2}]  })  db.collection.find({      "$not": {"age": 20}  })  db.collection.find({      "name": {"$size": 4}  })

null值

db.collection.find({key1: null})        // 返回所有无key1键的文档

RegExp

db.collection.find({"name": {"$regex": /^[a-z]{0,4}$/i}})        // 可加入正则flag位，如i忽略大小写

$slice，返回键中数组切片

db.collection.find({},                    {"comments": {"$slice": 10}})        // 返回前十切片  db.collection.find({},                    {"comments": {"$slice": 10}})        // 返回后十切片  db.collection.find({},                    {"comments": {"$slice": [23, 10]}})        // 返回24~33切片，神奇的左开右闭

$where，危险语句，可执行任意 JS函数

db.collection.find({"$where": function(){                     for (var i in this){                         for (var j in this){                             if (i!=j && this[i]==this[j])                                 return true;                         }                     }                     return false;                     }})

本质其实就是传入一个返回值为 bool的匿名函数，对文档进行选择

Update

修改器

$inc，原子操作，并发安全

db.collection.update({key: value}, {"$inc": {a: 1}})        //find操作后键值a会自增1

$set，存在则修改，不存在则创建，就像sql语句的 REPLACE一样

db.collection.update({"_id": "xxxxxx"}, {"$set": {key: value}})

$unset，set的逆操作

$push，修改文档数组，因为 JavaScript的数组增删元素就是用 push& pop

$each，批量修改数组

db.collection.update({}, {"$update": {key: {"$each": [val1, val2, val3]}}})

Delete

db.collection.remove()        //删所有文档  db.collection.remove({key: value})        //指定查询条件  db.collection.drop()        //删集合  db.dropDatabase()        删库

NoSQL注入

我将 MongoDB装在我的 Debian9虚拟机上，创建了以下内容：

> use sqli  switched to db sqli  > db  sqli  > db.createCollection("users")  { "ok" : 1 }  > db.users.insert({"uname": "admin", "passwd": "admin"})  WriteResult({ "nInserted" : 1 })  > db.users.insert({"uname": "iv4n", "passwd": "iv4n"})  WriteResult({ "nInserted" : 1 }  > db.users.find()  { "_id" : ObjectId("5ba3412314139eac63f891f7"), "uname" : "admin", "passwd" : "admin" }  { "_id" : ObjectId("5ba3424114139eac63f891f8"), "uname" : "iv4n", "passwd" : "iv4n" }

以下是PHP代码，这里是PHP 7.x，和5.x的mongoDB库使用有差异：

<?php  // init mongoDB engine  $server = new MongoDBDriverManager("mongodb://localhost:27017");    $uname = $_POST["uname"];  $passwd = $_POST["passwd"];  $filter = ["uname" => $uname,            "passwd" => $passwd,  ];  $option = [      "projection" => ["_id" => 0],      "sort" => ["_id"=> -1],  ];    $query = new MongoDBDriverQuery($filter, $option);  $cursor = $server->executeQuery("sqli.users", $query);  foreach ($cursor as $doc){      if ($doc->passwd == $passwd){              echo "Login Successfully!<br>";              echo "username is: ".$doc->uname."<br>";              echo "password is: ".$doc->passwd."<br>";      } else {              echo "Invalid user and pass";                                                   }  }  ?>

index页面为一个post方法登录