MongoDB操作&&注入漏洞&&未授权访问漏洞

注入不止有传统的SQL数据库，NoSQL型数据库也一样存在注入漏洞，在比赛中跟传统的注入相比也算新题型，不少同学可能还不太了解，本文向大家科普MongoDB数据库的常见操作以及攻击的方法——NoSQL注入和未授权访问

MongoDB简介

在 MongoDB中，没有 表、列的概念，取而代之的是 集合(collection)、文档(document)

库（DB）：
数据库，包含多个集合
集合（Collection）：
一组文档
文档（Document）：
键值对的一个有序集，即有序的哈希表

MongoDB内置 JavaScript解释器，它的文档是 JS中的对象( {...})，就是那种没成员函数的对象

MongoDB默认运行于 27017端口

MongoDB以 BSON格式保存数据，即 BinaryJson

简单操作

CRUD操作

文档插入后会自动添加一个 _id属性，为唯一标识符 {"_id":ObjectId("56064886ade2f21f36b03134")}

Create

创建数据库

代码语言：javascript复制

> use [newdbname]        //不存在则会创建

创建collections

代码语言：javascript复制

db.createCollection()

创建集合

集合的 insert方法，插入单个文档

代码语言：javascript复制

db.collection.insert({
    key1: value1,
    ley2: value2
})

Read

集合的 find方法，第一个参数是用来确定返回的文档，第二个参数确定返回的键值的过滤条件

代码语言：javascript复制

db.collection.find()    // 返回全部文档
db.collection.find({"age": 20})        // 按条件查询
db.collection.find({
    "age": 20,
    "name": "iv4n"
})        // condition1 && condition2

查询条件

$lt	$lte	$gt	$gte	$ne
<	<=	>	>=	!=

代码语言：javascript复制

db.collection.find({
    "age": {"$gt": 18, "$lt": 30}                   
})            // 返回年龄18< <30

$in	$nin	$or	$not	$size
指定列表，成员可为不同类型	不在列表中	条件逻辑或	元操作符，可用于其余任何条件	大小

代码语言：javascript复制

db.collection.find({
    "number": {"$in": [1, 2, 3]}
})
db.collection.find({
    "$or": [{key1: value1}, {key2: value2}]                   
})
db.collection.find({
    "$not": {"age": 20}                   
})
db.collection.find({
    "name": {"$size": 4}                   
})

null值

代码语言：javascript复制

db.collection.find({key1: null})        // 返回所有无key1键的文档

RegExp

代码语言：javascript复制

db.collection.find({"name": {"$regex": /^[a-z]{0,4}$/i}})        // 可加入正则flag位，如i忽略大小写

$slice，返回键中数组切片

代码语言：javascript复制

db.collection.find({}, 
                  {"comments": {"$slice": 10}})        // 返回前十切片
db.collection.find({}, 
                  {"comments": {"$slice": 10}})        // 返回后十切片
db.collection.find({}, 
                  {"comments": {"$slice": [23, 10]}})        // 返回24~33切片，神奇的左开右闭

$where，危险语句，可执行任意 JS函数

代码语言：javascript复制

db.collection.find({"$where": function(){
                   for (var i in this){
                       for (var j in this){
                           if (i!=j && this[i]==this[j])
                               return true;
                       }
                   }
                   return false;
                   }})

本质其实就是传入一个返回值为 bool的匿名函数，对文档进行选择

Update

修改器

$inc，原子操作，并发安全

代码语言：javascript复制

db.collection.update({key: value}, {"$inc": {a: 1}})        //find操作后键值a会自增1

$set，存在则修改，不存在则创建，就像sql语句的 REPLACE一样

代码语言：javascript复制

db.collection.update({"_id": "xxxxxx"}, {"$set": {key: value}})

$unset，set的逆操作

$push，修改文档数组，因为 JavaScript的数组增删元素就是用 push& pop

$each，批量修改数组

代码语言：javascript复制

db.collection.update({}, {"$update": {key: {"$each": [val1, val2, val3]}}})

Delete

代码语言：javascript复制

db.collection.remove()        //删所有文档
db.collection.remove({key: value})        //指定查询条件
db.collection.drop()        //删集合
db.dropDatabase()        删库

NoSQL注入

我将 MongoDB装在我的 Debian9虚拟机上，创建了以下内容：

代码语言：javascript复制

> use sqli
switched to db sqli
> db
sqli
> db.createCollection("users")
{ "ok" : 1 }
> db.users.insert({"uname": "admin", "passwd": "admin"})
WriteResult({ "nInserted" : 1 })
> db.users.insert({"uname": "iv4n", "passwd": "iv4n"})
WriteResult({ "nInserted" : 1 }
> db.users.find()
{ "_id" : ObjectId("5ba3412314139eac63f891f7"), "uname" : "admin", "passwd" : "admin" }
{ "_id" : ObjectId("5ba3424114139eac63f891f8"), "uname" : "iv4n", "passwd" : "iv4n" }

以下是PHP代码，这里是PHP 7.x，和5.x的mongoDB库使用有差异：

代码语言：javascript复制

<?php
// init mongoDB engine
$server = new MongoDBDriverManager("mongodb://localhost:27017");

$uname = $_POST["uname"];
$passwd = $_POST["passwd"];
$filter = ["uname" => $uname,
          "passwd" => $passwd,
];
$option = [
    "projection" => ["_id" => 0],
    "sort" => ["_id"=> -1],
];

$query = new MongoDBDriverQuery($filter, $option);
$cursor = $server->executeQuery("sqli.users", $query);
foreach ($cursor as $doc){
    if ($doc->passwd == $passwd){
            echo "Login Successfully!<br>";
            echo "username is: ".$doc->uname."<br>";
            echo "password is: ".$doc->passwd."<br>";
    } else {
            echo "Invalid user and pass";                                                   }
}
?>

index页面为一个post方法登录