2017.W46 - No SQL Injection in No SQL? > 雖然 No-SQL 已死(?) 但這問題還蠻有趣的 ## 前言 ## 最近在查資料 突然看到一篇文章[0] 提到 mongo DB 的 SSJI (Server-Side JavaScript Injection) 進而 RCE 攻擊 也順便學一下 NoSQL 的一些語法跟概念 ## 內容 ## NoSQL [1] 是一種不同於傳統關聯式資料庫[2] 的一種資料儲存型態 跟一般 DB 相較起來 更強調 Key-Value 形式的資料儲存 在大量資料的狀況下更可以平行處理 以 mongo DB[3] 為例 他提供多種類似 SQL 的語法[4] 像是 $where 後面就可以接 NoSQL 語法的條件 可能是簡單的條件成立 "this.credits == this.debits || this.credits > this.debits" 或者是函數的方式 function() { return obj.credits - obj.debits < 0; } 更甚之 可以使用巢狀式的 $and: [ { price: { $ne: 1.99 } }, { price: { $exists: true } } 而在研究者提出來的 SSJI to RCE 文章中 主要是提到 mongodb 提供了 run() [5] 這個內部使用的函數 這個函數可以被用來執行系統指令 透過一連串的分析之後 run() -> nativeHelper.apply(run_, arguments) -> nativeHelper.apply({"x": 135246144}) 最後就可以在 NoSQL 的查詢語法中 執行惡意的 JavaScript 藉由分析 source code [6] 來建立相關的 payload OWASP [7] 也針對 NoSQL 來提供簡單判斷是否存在 SQL Injection 的方式 除了上面那種透過 nativeHelper 執行惡意 payload 之外 也可以簡單 [8] 地透過上面提到的巢狀指令來做 SQL Injection [0]: https://blog.scrt.ch/2013/03/24/mongodb-0-day-ssji-to-rce/ [1]: https://zh.wikipedia.org/wiki/NoSQL [2]: https://en.wikipedia.org/wiki/Relational_database [3]: https://www.mongodb.org/ [4]: https://docs.mongodb.com/manual/reference/operator/query/where/ [5]: https://docs.mongodb.com/manual/reference/method/run/ [6]: https://github.com/mongodb/mongo [7]: https://www.owasp.org/index.php/Testing_for_NoSQL_injection [8]: http://cyrilwang.blogspot.tw/2012/06/nosql-no-injection.html --

※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 123.193.122.171 ※ 文章網址: https://webptt.com/m.aspx?n=bbs/NetSecurity/M.1510668896.A.CBC.html