Nuevos labs cada semana — Accede a todos desde 5€/mes
Ver labs →Labs de NoSQL Injection
NoSQL Injection (Mongo, Couch, Redis)
¿Qué es NoSQL Injection?
La NoSQL Injection explota la falta de sanitización en queries a bases NoSQL como MongoDB, CouchDB o Redis. Los operadores como $gt, $ne y $where permiten bypassear autenticación, leer documentos arbitrarios o ejecutar JavaScript server-side.
¿Por qué practicar NoSQL Injection?
El stack MERN/MEAN ha llevado MongoDB al frontline de muchas APIs. Los devs que vienen de SQL aplican parametrización pensando que están a salvo, pero los operadores nativos de Mongo abren toda una clase nueva de inyecciones. Bounties típicos: $500–$5,000 por bypass de login.
¿Qué aprenderás con los labs de NoSQL Injection?
Aprenderás los operadores peligrosos ($where, $regex, $gt, $ne, $exists), cómo enviarlos vía JSON body y vía query string parseado por qs/Express, técnicas blind con $regex anclado, y cómo escalar de auth bypass a takeover combinando con IDOR.
Tipos de NoSQL Injection que cubrimos
- Operator injection
Pasar `{"$gt": ""}` en lugar de un string para que el match se cumpla siempre. Clásico bypass de login en Express + qs parser.
- $where JS injection
Cuando se usa `$where` con un string que contiene input del usuario, ejecutas JavaScript arbitrario en el servidor mongo.
- Blind regex
Usar `$regex` con anclas (^, $) para extraer caracteres uno a uno cuando no hay output directo.
Aprende la teoría
Academy: SQL & NoSQL Injection
Cargando labs...
Ver en catálogo completo →Otras categorías relacionadas
Empieza con labs de NoSQL Injection
Practica NoSQL Injection (Mongo, Couch, Redis) con labs basados en reportes reales. En español. Desde 5€/mes.
Empieza con el primer lab de NoSQL Injection