uu59のメモ | MongoDBでもSQLインジェクションできる

タイトルはわかりやすさ重視でつけたのでそれSQLじゃないよというのは承知の上です。 Attacking NoSQL and Node.js: Server-Side JavaScript Injection (SSJS) SSJS whitepaper(PDF) JSONをevalで作るようなのは論外として、NoSQL Injectionって項目が面白かったのでメモ。 まずMongoDBにはfind()っていうのがあるんですが、一般的にはdb.find({x: 42})のようにオブジェクトを渡してxプロパティが42のレコードを取得する、といった用途に使います。が、db.find("this.x == 42")のように文字列を渡しても同じ結果が返ってきます。これはMongoが受け取った文字列をevalしてるせいです。試しにmongoコンソールでdb.find("while(1){};retu

[yamaeda]

uu59のメモ | MongoDBでもSQLインジェクションできる

[raimon49]

ドライバの実装によってはevalから注入可能

[security_check]

uu59のメモ | MongoDBでもSQLインジェクションできる

[todesking]

思わぬ場所でevalされるのやばい

[udzura]

新着セキュリティ情報だ

[aereal]

文字列をevalするとかずいぶん大雑把なことしてるの……

[hs_hachi]

Javaのドライバはどうなんだろう？確認した方がいいかな？

[editnuki]

ほうほう。メモメモ