NoSQL इंजेक्शन वर्णमाला

SQL इंजेक्शन हैं! क्या NoSQL इंजेक्शन संभव हैं? हाँ! Redis, MongoDB, मेमकास्टेड - ये सभी सॉफ्टवेयर उत्पाद गैर-संबंधपरक DBMS की श्रेणी के हैं, जो लोकप्रिय MySQL, Oracle डेटाबेस और MSSQL के विपरीत हैं। चूंकि इन डेटाबेस में रुचि हाल ही में काफी बढ़ गई है, सभी धारियों के हैकर्स बस उन्हें अतीत में नहीं मिला सकते हैं।

NoSQL क्या है?

मुझे लगता है कि आप डीबीएमएस के संबंधपरक मॉडल से परिचित हैं, जिसके अनुसार डेटाबेस में इकाइयां (टेबल), परस्पर जुड़े हुए हैं। डेटा SQL, संरचित क्वेरी भाषा का उपयोग करके एक्सेस किया जाता है। आपको संबंधपरक DBMS के उदाहरणों के लिए दूर नहीं जाना है: MySQL, Oracle, Microsoft SQL Server। अन्य सभी DBMS, जिनकी वास्तुकला शास्त्रीय संबंध मॉडल से भिन्न है, को सुरक्षित रूप से NoSQL समाधान के वर्ग के लिए जिम्मेदार ठहराया जा सकता है:

• विभिन्न हैश तालिका विकल्प (रेडिस, बिगटेबल, मेमकेच्ड);
• दस्तावेज़-उन्मुख डेटाबेस (MongoDB, CouchDB);
• ग्राफ़-आधारित डेटाबेस (Neo4j, Sones GraphDB);
• ऑब्जेक्ट-ओरिएंटेड डेटाबेस (db4o, कैश, जेड);
• XML- उन्मुख डेटाबेस (eXist, BaseX)।

NoSQL-DBMS और उनके SQL उन्मुख प्रतियोगियों के बीच मुख्य अंतर एकल, एकीकृत क्वेरी भाषा की कमी है। उदाहरण के लिए, MongoDB BSON का उपयोग क्वेरी भाषा के रूप में करता है, eXist XQuery का उपयोग करता है, और Sonic GraphDB के लिए ग्राफ़िक्स की तरह दिखने वाले डेटा के लिए क्वेरी भाषा, GraphQL की आवश्यकता होती है। NoSQL-DBMS की लोकप्रियता हर दिन बढ़ रही है, जो आपको और मुझे प्रभावित नहीं कर सकती है। बहुत जल्द, सचमुच कल, आपको एसक्यूएल इंजेक्शन की तलाश नहीं करनी होगी, लेकिन अगले प्रोजेक्ट में NoSQL इंजेक्शन। हम समय बर्बाद नहीं करेंगे और संभावित कमजोरियों के बारे में बात करेंगे।

क्या NoSQL DBMSs इतने सुरक्षित हैं?

अक्सर मैं एक बयान सुनता हूं कि गैर-संबंधपरक डीबीएमएस सुरक्षित हैं, क्योंकि वे एसक्यूएल का उपयोग नहीं करते हैं और एक हमलावर उन पर एसक्यूएल-इंजेक्शन जैसे हमलों का संचालन नहीं कर सकता है। कुछ हद तक, यह सच है: कोई SQL - कोई SQL इंजेक्शन नहीं। लेकिन, यदि सिस्टम में SQL कोड इंजेक्ट करना असंभव है, तो इसका मतलब यह नहीं है कि यह सुरक्षित है। NoSQL एक संभावित भेद्यता को बंद कर देता है, जबकि एक दर्जन अन्य को खोलना जो आपको कई प्रकार के दुर्भावनापूर्ण कार्य करने की अनुमति देता है:

• REST इंटरफ़ेस और नकली क्रॉस-साइट अनुरोधों (CSRF) के साथ हेरफेर;
• क्वेरी पैरामीटर में नियमित अभिव्यक्ति का उपयोग करें;
• सर्वर पर स्क्रिप्ट निष्पादित करें यदि NoSQL-DBMS उस पर स्थापित है (उदाहरण के लिए, MongoDB आपको जावास्क्रिप्ट कोड चलाने की अनुमति देता है);
• DBMS (रिलेशनल डेटाबेस में SQL, MongoDB में BSON, आदि) द्वारा समर्थित एक विशेष इंटरफ़ेस के माध्यम से डेटा का उपयोग, और, अगर क्वेरी भाषा का उपयोग किया जाता है, तो इन प्रश्नों को "सही" करें।

NoSQL डेटा वेयरहाउस तक पहुंच के साथ एक विशिष्ट एप्लिकेशन आर्किटेक्चर पर विचार करें। आमतौर पर इसमें तीन स्तर होते हैं:

• आवेदन;
• NoSQL डाटाबेस एपीआई
• NoSQL DBMS

एक हमलावर इनमें से प्रत्येक स्तर पर हमला कर सकता है। आइए सबसे निचले स्तर से शुरू करें, जो कि सीधे डीबीएमएस से है। किसी भी आवेदन की तरह, डीबीएमएस को बफर ओवरफ्लो हमलों की आशंका हो सकती है या एक कमजोर प्रमाणीकरण योजना हो सकती है। इस स्तर पर हमला करना काफी मुश्किल है, क्योंकि जिस समुदाय ने उत्पाद और विकास कंपनी के आसपास खुद को बनाया है, वे त्रुटियों को ठीक करने की कोशिश कर रहे हैं क्योंकि वे खोजे जाते हैं। लेकिन आपके पास एक बहुत बड़ा लाभ है: अधिकांश सॉफ़्टवेयर उत्पाद स्रोत कोड के साथ आते हैं, जिसका अर्थ है कि आप इसका पूरी तरह से विश्लेषण कर सकते हैं और संभवतः कुछ सार्थक पा सकते हैं। यदि आप भाग्यशाली हैं, तो आपके हाथों में लगभग किसी भी डेटाबेस की कुंजी होगी! अगला स्तर क्लाइंट एपीआई है। अधिकांश NoSQL DBMS में डेटा तक पहुँचने के लिए विभिन्न पुस्तकालयों का एक चिड़ियाघर है। यह ध्यान देने योग्य है कि अधिकांश पुस्तकालय खुले स्रोत परियोजनाएं हैं, लेकिन उनमें से कुछ अब समर्थित नहीं हैं। क्लाइंट लायब्रेरी में भेद्यता का पता लगाने की संभावना सीधे DBMS की तुलना में बहुत अधिक है। और यहां तक ​​कि अगर आप केवल उस भेद्यता को खोजने के लिए पर्याप्त भाग्यशाली नहीं हैं जो इस एपीआई के आधार पर निर्मित सभी अनुप्रयोगों तक पहुंच की अनुमति देगा, तो आप कल्पना करेंगे कि क्लाइंट कोड और डेटाबेस सर्वर के बीच संवाद कैसे होता है, क्या प्रोटोकॉल का उपयोग किया जाता है और क्या सत्र को बाधित करना संभव है।
और अंत में, शीर्ष स्तर वह एप्लिकेशन है जिसे आप हैक करने जा रहे हैं। यहां आपको सबसे पहले उन जगहों को खोजने की आवश्यकता है जहां प्रोग्रामर इनपुट डेटा की जांच करना भूल गया, और इसका फायदा उठाने की कोशिश करें। इस स्थिति में, आपको SQL इंजेक्शन की खोज करते समय उसी दृष्टिकोण का उपयोग करने की आवश्यकता होती है, अर्थात, कोड और त्रुटि संदेशों का विश्लेषण करें, केवल इस बार आपको JSON, जावास्क्रिप्ट या कुछ इसी तरह का व्यवहार करना होगा।
तो, यह एक हैक के लिए समय है! आज हमारा लक्ष्य MongoDB होगा - सबसे आम NoSQL DBMSs में से एक।

MongoDB में NoSQL इंजेक्शन

हम एक छोटा सा वेब एप्लिकेशन क्रैक करेंगे। यहां इसका स्रोत कोड है (स्थापना प्रक्रिया README.RU.txt फ़ाइल में विस्तार से वर्णित है)। यदि स्थापना सफल है, तो आवेदन http://127.0.0.1 {1337 पर उपलब्ध होना चाहिए। मुख्य हमलों पर आज चर्चा की जाएगी:

• नियमित अभिव्यक्ति इंजेक्शन;
• JSON इंजेक्शन
• REST इंटरफ़ेस के साथ जोड़तोड़;
• जावास्क्रिप्ट इंजेक्शन।

आइए नियमित अभिव्यक्ति का उपयोग करने में त्रुटियों का उपयोग करके हैकिंग से शुरू करें।

MongoDB वेब इंटरफ़ेस

नियमित अभिव्यक्तियाँ

कई अन्य NoSQL DBMSs की तरह MongoDB, आपको नियमित अभिव्यक्ति का उपयोग करके खोज करने की अनुमति देता है। यह एक बहुत शक्तिशाली है, लेकिन एक ही समय में खतरनाक उपाय जो अनुचित तरीके से उपयोग किए जाने पर महत्वपूर्ण नुकसान पहुंचा सकता है।
MongoDB नियमित एक्सप्रेशन का उपयोग करके $ रेगेक्स ऑपरेटर का उपयोग करता है। उदाहरण के लिए, क्वेरी "मुझे उन सभी उपयोगकर्ताओं को लौटाएगी, जिनका लॉगिन" ro "से शुरू होता है, इस तरह दिखेगा:

db.users.find({ login: { $regex: "^ro" } }) 

वैसे, यदि आप MongoDB क्वेरी भाषा से परिचित नहीं हैं, तो मेरा सुझाव है कि आप इसे डेवलपर के गाइड से सीखना शुरू करें। लेकिन वापस हमारे आवेदन करने के लिए। परीक्षण वेबसाइट खोलें और MongoDB मेनू में "नियमित अभिव्यक्तियों में इंजेक्शन" का चयन करें।

परीक्षण आवेदन में उपयोगकर्ता प्रमाणीकरण पृष्ठ

आइए देखें कि यह पृष्ठ कैसे काम करता है। Lib फ़ोल्डर में mongodb.js फ़ाइल खोलें। यह MongoDbController क्लास को लागू करता है, जो एप्लिकेशन में सभी पृष्ठों के कामकाज के लिए जिम्मेदार है। अब हम regexp विधि में रुचि रखते हैं:

 var regexpPwd = new RegExp("^" + password, "i"); var loginParam = { login: login, password: regexpPwd }; 

जैसा कि आप देख सकते हैं, उपयोगकर्ता प्रमाणीकरण एक अनुरोध के माध्यम से होता है जो पासवर्ड के रूप में नियमित अभिव्यक्ति को निर्दिष्ट करता है। उसी समय, पासवर्ड चर को किसी भी तरह से फ़िल्टर नहीं किया जाता है, जो हमें कार्रवाई की पूरी स्वतंत्रता देता है। यहां आप पासवर्ड के बजाय रूट उपयोगकर्ता नाम और नियमित अभिव्यक्ति निर्दिष्ट कर सकते हैं, उदाहरण के लिए [\ s \ S] *। नतीजतन, MongoDB निम्नलिखित अनुरोध को निष्पादित करेगा: "db.users.findOne ({लॉगिन: 'रूट', पासवर्ड: / ^ [\ s \ S] * / i})", और आप सफलतापूर्वक रूट के रूप में कमजोर साइट पर लॉग इन करेंगे (यह) तकनीक क्लासिक एसक्यूएल इंजेक्शन "1 'या 1 = 1 -" के समान है। इस तरह के हमले से खुद को बचाना काफी सरल है। सबसे पहले, हमेशा इनपुट डेटा की जांच करें, इससे कोई फर्क नहीं पड़ता कि यह कहां से आता है - सीधे उपयोगकर्ता से, या बाहरी फ़ाइल से, या डेटाबेस से। प्रोग्राम में डेटा का उपयोग करने से पहले, इसे जांचना चाहिए। दूसरे, जब वे वास्तव में आवश्यक हों तो केवल उन्हीं मामलों में नियमित अभिव्यक्ति का उपयोग करें। उदाहरण के लिए, उपरोक्त क्वेरी को इस तरह से फिर से लिखा जा सकता है:

 db.users.findOne({ login: 'root', password: 'p@ssw0rd' }) 

जैसा कि आप देख सकते हैं, यह सुरक्षित है और तेज भी है।

जैसन इंजेक्शन

हाँ, MongoDB SQL का समर्थन नहीं करता है, लेकिन DBMS एक क्वेरी भाषा के बिना नहीं कर सकता। MongoDB डेवलपर्स ने SQL के बजाय लोकप्रिय JSON टेक्स्ट एक्सचेंज प्रारूप (BSON) का उपयोग करने का निर्णय लिया। इस प्रकार, आप विभिन्न प्रकार के इंजेक्शन हमलों को अंजाम देने की कोशिश कर सकते हैं (निश्चित रूप से, यदि इनपुट डेटा को फ़िल्टर नहीं किया गया है)। इस तरह के हमलों को आमतौर पर JSON इंजेक्शन कहा जाता है।
तो, हमारे आवेदन को फिर से खोलें और "JSON इंजेक्शन" पृष्ठ पर जाएं। पिछले उदाहरण के रूप में, आपको उपयोगकर्ता नाम और पासवर्ड दर्ज करने के लिए एक क्षेत्र दिखाई देगा। आइए इस पृष्ठ पर प्रमाणीकरण प्रक्रिया के लिए जिम्मेदार कोड को देखें। यह MongoDbController वर्ग के जोंस-इंजेक्शन विधि में निहित है:

 var loginParam = eval("({ login: '" + login + "', password: '" + password + "' })"); 

उपर्युक्त कोड एक जावास्क्रिप्ट ऑब्जेक्ट (MongoDB के लिए एक अनुरोध) के पाठ्य प्रतिनिधित्व को एक वस्तु में परिवर्तित करता है। इस ऑब्जेक्ट को डेटाबेस सर्वर में स्थानांतरित करने के बाद, उपयोगकर्ता प्रमाणीकरण होता है। कोड के इस टुकड़े में एक बहुत कमजोर जगह है - इनपुट डेटा को किसी भी तरह से नियंत्रित नहीं किया जाता है, इसलिए आप डेटाबेस में लगभग किसी भी क्वेरी को उत्पन्न कर सकते हैं! उदाहरण के लिए, उपयोगकर्ता नाम "रूट '}) //" (पासवर्ड वैकल्पिक है) निर्दिष्ट करें और "लॉगिन" बटन पर क्लिक करें। बधाई हो, आप फिर से लॉग इन हैं! यह कैसे हुआ? सब कुछ बहुत सरल है। आपने उपयोगकर्ता नाम "रूट '}) //" निर्दिष्ट किया है, और निम्न चाल eval फ़ंक्शन में हुई:

 //  ({ login: 'root'})//', password: '' }) //  db.users.findOne({ login: 'root' }) 

वास्तव में, यह स्क्रिप्ट और भी खतरनाक है, क्योंकि इसके साथ आप वेब सर्वर पर किसी भी जावास्क्रिप्ट कोड को निष्पादित कर सकते हैं। उदाहरण के लिए, उपयोगकर्ता नाम "'+ process.execPath}) //" फ़ॉर्म की एक क्वेरी तैयार करेगा

 db.users.findOne({ login: 'C:\\node.exe' }) 

इस प्रकार की कमजोरियों को सर्वर साइड जावास्क्रिप्ट इंजेक्शन या बस SSJI कहा जाता है।
ऐसे हमलों से खुद को कैसे बचाएं?

1. बाहरी स्रोतों से सभी डेटा की जाँच करें। उदाहरण के लिए, लॉगिन को नियमित अभिव्यक्ति "^ [a-zA-Z] + $" से मेल खाना चाहिए।
2. JSON के साथ काम करने के लिए कभी भी eval फ़ंक्शन का उपयोग न करें। JSON.parse फ़ंक्शन Node.js में उपलब्ध है, जो इनपुट स्ट्रिंग को पार्स करता है और इसके आधार पर एक ऑब्जेक्ट बनाता है।

एक परीक्षण अनुप्रयोग में सफल प्रमाणीकरण

बाकी इंटरफ़ेस जोड़तोड़

इंटरनेट और सेवा-उन्मुख वास्तुकला (SOA) के तेजी से विकास के कारण, REST समाधान अधिक से अधिक लोकप्रियता प्राप्त कर रहे हैं। चूंकि अधिकांश आधुनिक गैर-संबंधपरक डीबीएमएस नवीनतम उद्योग के रुझानों के अनुसार आयोजित किए जाते हैं, इसलिए इनमें से कई प्रणालियां या तो स्वयं को लागू करती हैं या RESTful वास्तुकला का उपयोग करके डेटा तक पहुंचने के लिए तीसरे पक्ष के उत्पादों का उपयोग करती हैं। MongoDB कोई अपवाद नहीं है: इस DBMS में एक साधारण REST इंटरफ़ेस शामिल है जो आपको रीड-ओनली मोड में डेटा एक्सेस करने की अनुमति देता है। इसके अलावा, स्लीपी मोंगोसे नामक एक परियोजना है जो पूर्ण रीस्ट समर्थन को लागू करती है।
आइए देखें कि MongoDB में निर्मित REST इंटरफ़ेस कैसे काम करता है। DBMS सर्वर को "--rest" पैरामीटर से शुरू किया जाना चाहिए। REST सेवा http://127.0.0.1:28017/ पर उपलब्ध है। यह एक बहुत ही सरल वेब-एप्लिकेशन है जो DBMS की वर्तमान स्थिति के बारे में जानकारी प्रदर्शित करता है और आपको डेटाबेस क्वेरी उत्पन्न करने की अनुमति देता है। यहाँ कुछ दिलचस्प लिंक दिए गए हैं:

• / सूची डेटाबेस; पाठ = 1 - डेटाबेस की सूची;
• / serverStatus? पाठ = 1 - सर्वर की वर्तमान स्थिति।

सामान्य तौर पर, डेटाबेस में REST अनुरोध उत्पन्न करने के लिए निम्न फ़ॉर्म के URL का उपयोग किया जाता है:

http://127.0.0.1:28017/_//?filter_=

हमारे वेब एप्लिकेशन के पेज "मैनिपुलेशन विथ ए आरईएसटी इंटरफेस" पर, यूजर ऑथेंटिकेशन को मोंगोडीबी रीस्ट इंटरफेस का उपयोग करके किया जाता है। यह MongoDbController वर्ग के बाकी तरीके में लागू किया गया है:

 var restQry = "/secure_nosql/users/?filter_login=" + login + "&filter_password=" + password; var hash = restQry.indexOf("#"); if (hash > -1) { restQry = restQry.substring(0, hash); } 

स्क्रिप्ट "#" वर्ण के बाद सभी डेटा को अनदेखा करते हुए, एक अनुरोध बनाता है। जब REST अनुरोध तैयार हो जाता है, तो स्क्रिप्ट सर्वर पर HTTP अनुरोध बनाती है और JSON प्रारूप में परिणाम की अपेक्षा करती है। उदाहरण के लिए, Secure_nosql डेटाबेस में रूट उपयोगकर्ता जानकारी के लिए एक अनुरोध इस प्रकार है: http://127.0.0.1:28017/secure_nosql/users/?filter_login=root&ililter_password=p@ssw0rd। सब कुछ ठीक होगा, लेकिन कोड में एक त्रुटि है जो "#" प्रतीक को संसाधित करते समय स्वयं प्रकट होती है। यदि आप "रूट #" नाम से लॉग इन करने का प्रयास करते हैं, तो आपको सिस्टम में लॉग इन किया जाएगा। समस्या निम्न URL के गठन के कारण होती है: http: // localhost: 28017 / safe_nosq / / users /? Filter_login = root # & filter_password =। इस तथ्य में शामिल हैं कि filter_password पैरामीटर को नजरअंदाज कर दिया गया था और प्रमाणीकरण अनुरोध http: // localhost: 28017 / Secure_nosql / users /? filter_login = root के माध्यम से किया गया था।
यह ध्यान देने योग्य है कि अधिकांश REST इंटरफेस क्रॉस-साइट अनुरोध जालसाजी (CSRF) के लिए भी असुरक्षित हैं:

 <img src="http://localhost:28017/secure_nosql/users/" /> 

ईमानदारी से, मैं Restful वास्तुकला के बारे में संदेह कर रहा हूं, क्योंकि यह हमलावरों के लिए महान अवसर खोलता है। REST का उपयोग न करने का प्रयास करें। लेकिन अगर इसके बिना कुछ भी नहीं है, तो पहले क्रॉस-साइट रिक्वेस्ट फॉरगिरी के लिए रोबस्ट डिफेंस लेख पढ़ें, जिसमें आरईएसटी सुरक्षा के सभी पहलुओं का विस्तार से वर्णन है।

जावास्क्रिप्ट इंजेक्शन

अधिकांश आधुनिक संबंधपरक डीबीएमएस आपको संग्रहीत प्रक्रियाएं बनाने की अनुमति देते हैं। आइए Microsoft SQL सर्वर को देखें, जो ANSI SQL की क्षमताओं का विस्तार करता है और आपको लगभग किसी भी व्यावसायिक अनुप्रयोग आवश्यकताओं का अनुपालन करने की अनुमति देता है। यदि आपके पास टी-एसक्यूएल की क्षमता की कमी है (यह एसक्यूएल सर्वर में लागू एसक्यूएल की एक बोली है), तो आप सी # या किसी अन्य .NET-संगत भाषा में संग्रहीत कार्यविधि लिख सकते हैं।
MongoDB में सर्वर-साइड जावास्क्रिप्ट सहित समान रूप से समृद्ध विशेषताएं हैं। वास्तव में, आप डेटाबेस सर्वर पर लगभग किसी भी कोड को निष्पादित कर सकते हैं। एक तरफ, यह आपको डेटा प्रोसेसिंग के लिए बहुत जटिल एप्लिकेशन लिखने की अनुमति देता है, दूसरी ओर, आपके एप्लिकेशन को अधिक असुरक्षित बनाता है।
मैं MongoDB में जावास्क्रिप्ट का उपयोग कहां कर सकता हूं?

1. $ जहां ऑपरेटर के साथ प्रश्न । उदाहरण के लिए, क्वेरी db.orders.find ({$ जहां: "this.amount> 3"}) आपको तीन से अधिक आइटमों के साथ आदेशों की सूची लौटाएगा।
2. Db.eval टीम । उदाहरण के लिए, db.eval ("फ़ंक्शन (x) {रिटर्न x * x;}", 2) चार वापस आएंगे।
3. डेटाबेस को बचाने के लिए कार्य । MongoDB आपको एक डेटाबेस में जावास्क्रिप्ट में लिखे गए कार्यों को संग्रहीत करने की अनुमति देता है। इसके लिए, एक विशेष प्रणाली संग्रह system.js का उपयोग किया जाता है। नया संग्रहित फ़ंक्शन फू (x) बनाने के लिए, निम्न कोड निष्पादित करें:
   
   

     db.system.js.save( { _id: "foo", value: function (x) { return x * x; }}) 

   
   अब आप इसे इस तरह से कॉल करने की कोशिश कर सकते हैं: db.eval ("फू (2)")।
4. नक्शा / कम करें । मैप / रिड्यूस, Google द्वारा विकसित एक सॉफ्टवेयर ढांचा है जो बड़ी मात्रा में डेटा के समानांतर कंप्यूटिंग के लिए विकसित किया गया है। इसमें दो ऑपरेशन शामिल हैं: मानचित्र, डेटा प्रीप्रोसेसिंग के लिए उपयोग किया जाता है, और कम करता है, जो परिणाम की खोज करता है।
   MongoDB आपको डेटाबेस सर्वर पर नक्शा चलाने / संचालन कम करने की अनुमति देता है। DBMS प्रक्रिया के समानांतर और एकत्रीकरण का ख्याल रखता है; डेवलपर को केवल प्रारंभिक डेटा और फ़ंक्शंस निर्दिष्ट करने की आवश्यकता होती है जो मानचित्र को लागू करते हैं और कमांड को कम करते हैं। अधिक जानकारी MongoDB प्रलेखन में उपलब्ध है।

हमारे परीक्षण अनुप्रयोग में $ $ में जावास्क्रिप्ट इंजेक्शन है, जहां db.eval कमांड में एक समान भेद्यता है।
आइए $ उस कथन के साथ शुरू करें। एप्लिकेशन खोलें और "जावास्क्रिप्ट इंजेक्शन" मेनू में आइटम का चयन करें। पृष्ठ पर प्रमाणीकरण ssji- जहां MongoDbController वर्ग की विधि में लागू किया गया है:

 var js = "this.login === '" + login + "' && this.password === '" + password + "'"; var loginParam = { "$where" : js }; 

सबसे पहले, एक स्क्रिप्ट उत्पन्न होती है जो उपयोगकर्ता नाम और पासवर्ड की जांच करती है। दुर्भाग्य से, पासवर्ड और लॉगिन चर में डेटा की बिल्कुल भी जांच नहीं की जाती है, जो आपको सर्वर पर किसी भी स्क्रिप्ट को निष्पादित करने की अनुमति देता है।
अब हम रूट के रूप में लॉगिंग की कोशिश करते हैं। उपयोगकर्ता नाम "रूट" // दर्ज करें और लॉग इन करने का प्रयास करें। एक बार फिर, आप सफलतापूर्वक लॉग इन हो गए हैं! यह संभव है कि सर्वर पर MongoDB के लिए निम्नलिखित अनुरोध के कारण:

 { '$where': 'this.login === \'root\' //\' && this.password === \'\'' } 

"//" जावास्क्रिप्ट में एक टिप्पणी है, इसलिए परिणामी क्वेरी "this.login === 'रूट'" रूप लेगी।
सौभाग्य से, जिस समय अनुरोध निष्पादित किया जाता है, डेटाबेस "रीड ओनली" मोड में होता है, इसलिए हमलावर ऐसी स्क्रिप्ट नहीं लिख सकेगा जो आपके डेटा को संशोधित करती है। लेकिन इसका मतलब यह नहीं है कि इस तरह का हमला असंभव है। "जावास्क्रिप्ट इंजेक्शन - db.eval (...)" पृष्ठ खोलें। इस समय, डेटाबेस सर्वर पर eval फ़ंक्शन को कॉल करके प्रमाणीकरण होता है:

 var js = "function () { return db.users.findOne ({ login: '" + login + "', password: '" + password + "' }); }" db.eval(js); 

जैसा कि आप देख सकते हैं, आपके पास डेटाबेस सर्वर पर किसी भी कोड को निष्पादित करने की क्षमता है। Pen_test पासवर्ड के साथ एक नया pen_test उपयोगकर्ता बनाने का प्रयास करें। ऐसा करने के लिए, निम्नलिखित लॉगिन दर्ज करें:

 '}), db.users.insert({login: 'pen_test', password: 'pen_test'}), 1 } // 

सबसे पहले, आप लॉग इन हैं। दूसरे, डेटाबेस में एक नया उपयोगकर्ता pen_test प्रकट हुआ है। :-)
सर्वर-साइड जावास्क्रिप्ट में बहुत संभावनाएं हैं और एक ही समय में, कई खतरे हैं। कोड में एक छोटी सी गलती, और हमलावर आपके डेटाबेस सर्वर तक पहुंच प्राप्त करता है। मैं अत्यधिक सर्वर-साइड स्क्रिप्ट का उपयोग नहीं करने की सलाह देता हूं: 85% अनुरोध उनके बिना लिखे जा सकते हैं।

परीक्षण एप्लिकेशन तक पहुंच अस्वीकृत है

निष्कर्ष

अंत में, मैं इस बारे में बात करना चाहूंगा कि मैं NoSQL समुदाय के वर्तमान और भविष्य को कैसे देखता हूं। सबसे पहले, आपने सुनिश्चित किया कि NoSQL DBMSs अभी मुख्यधारा नहीं हैं, लेकिन इस के बहुत करीब हैं: नए गैर-संबंधपरक DBMS और प्रोजेक्ट जो उनका उपयोग करते हैं। यह मुझे लगता है कि निकट भविष्य में NoSQL समाधान अत्यधिक भरी हुई अनुप्रयोगों के बाजार में अपेक्षाकृत बड़े हिस्से पर कब्जा कर लेगा। दूसरे, आधुनिक NoSQL-DBMS की सुरक्षा वांछित होने के लिए बहुत कुछ छोड़ देती है। यदि संबंधपरक डेटाबेस की दुनिया में एक मानकीकृत क्वेरी भाषा है - एसक्यूएल, तो "गैर-संबंधपरक दुनिया" में हर कोई क्वेरी भाषा को लागू करता है जैसा कि वह चाहता है: जेएसएन, एक्सवाईके, आरईएसटी इंटरफेस। तदनुसार, बहुत अधिक संभावित कमजोरियां हैं। यदि रिलेशनल डेटाबेस के साथ काम करते समय, यह एसक्यूएल इंजेक्शन सीखने के लिए पर्याप्त था और उनके साथ कैसे व्यवहार करें (उसी समय आप अपने मौजूदा ज्ञान को MySQL में और ओरेकल या SQL सर्वर में लागू कर सकते हैं), तो गैर-रिलेशनल डेटाबेस के साथ यह सरल नहीं है। सबसे पहले, आपको यह पता लगाना होगा कि आपके DBMS में किस क्वेरी भाषा का उपयोग किया जाता है, डेटा का उपयोग कैसे किया जाता है और क्या अतिरिक्त विशेषताएं हैं जो हैकिंग के लिए उपयोग की जा सकती हैं (उदाहरण के लिए, MongoDB में सर्वर-साइड जावास्क्रिप्ट)। जानकारी एकत्र करने के बाद आपको अपने सिस्टम में संभावित कमजोरियों का पता लगाना है और उन्हें कैसे ठीक करना है।

मैं वास्तव में आशा करता हूं कि निकट भविष्य में स्थिति बदल जाएगी: सार्वजनिक डोमेन में अधिक जानकारी दिखाई देगी और NoSQL-DBMS के उपयोग से जुड़े खतरों से बचाव के लिए साधारण SQL इंजेक्शन से उतना ही सरल होगा।

---

NoSQL FAQ

प्रश्न: NoSQL शब्द की उत्पत्ति क्या है?
A: NoSQL का अनुवाद “No SQL” (No SQL बिल्कुल नहीं) के रूप में किया जाता है, लेकिन “Not SQL” के रूप में (केवल SQL नहीं)। यह शब्द 1998 में उत्पन्न हुआ: यही कार्लो स्ट्रोज़ी ने अपने गैर-संबंधपरक डेटाबेस प्रबंधन प्रणाली को कहा। उन्होंने 2009 में अपना पुनर्जन्म प्राप्त किया, जब एरिक इवांस ने मुफ्त वितरित डेटाबेस पर एक सम्मेलन में इसका इस्तेमाल गैर-संबंधपरक डीबीएमएस और डेटा वेयरहाउस को संदर्भित करने के लिए किया था। हम मान सकते हैं कि यह सम्मेलन था जिसने NoSQL समाधान बूम के लिए नींव रखी।

प्रश्न: MongoDB क्या है?
A: MongoDB अक्टूबर 2007 से 10gen द्वारा विकसित एक खुला स्रोत दस्तावेज़ प्रबंधन डेटाबेस सिस्टम है। पहला MongoDB रिलीज़ फरवरी 2009 में रिलीज़ किया गया था। DBMS अत्यधिक भरी हुई परियोजनाओं में डेटा संग्रहीत करने के लिए एक समाधान के रूप में तैनात है। इसके मुख्य लाभों में उच्च प्रदर्शन, उत्कृष्ट मापनीयता, दोष सहिष्णुता और डेवलपर्स और उपयोगकर्ताओं के व्यापक समुदाय की उपस्थिति शामिल है। फिलहाल, MongoDB उपयोगकर्ताओं में डिज्नी, एसएपी, फोर्ब्स और अन्य जैसी विश्व प्रसिद्ध कंपनियां हैं।

क्यू: क्यों NoSQL?
A: चलिए मुख्य लाभ देखते हैं कि NoSQL डेटाबेस के अपने रिलेशनल समकक्षों के ऊपर है।

1. उत्पादकता : अधिकांश NoSQL डेवलपर्स अपनी परियोजनाओं के अनुकूलन के लिए बहुत समय समर्पित करते हैं। MongoDB आपको लगभग 20,000 आवेषण और प्रति सेकंड 4800 नमूने प्राप्त करने की अनुमति देता है।
2. डेटाबेस प्रतिकृति का आसान विन्यास । MongoDB आपको केवल कुछ कमांड के साथ प्रतिकृति को कॉन्फ़िगर करने की अनुमति देता है, अर्थात, एक ही ओरेकल की तुलना में बहुत आसान है।
3. बहुत सारे "गुडीज़" जो प्रोग्रामर के लिए जीवन को आसान बनाते हैं। उदाहरण के लिए, MongoDB ने मानचित्र / कटौती और जटिल डेटा संरचनाओं के लिए अंतर्निहित समर्थन किया है।
4. स्केलेबिलिटी । यह NoSQL-DBMS के मुख्य ट्रम्प कार्ड में से एक है। उनमें से अधिकांश क्षैतिज स्केलिंग का समर्थन करते हैं, जो उपकरणों पर महत्वपूर्ण लागत बचत में योगदान देता है, क्योंकि कॉर्पोरेट सर्वर में प्रोसेसर और रैम की एक अतिरिक्त जोड़ी जोड़ने की तुलना में क्लस्टर के लिए एक और सस्ता सर्वर खरीदना सस्ता है।
5. वे सस्ते हैं! अधिकांश NoSQL समाधान ओपन सोर्स प्रोजेक्ट हैं। आप उन्हें अभी डाउनलोड कर सकते हैं और उनका उपयोग शुरू कर सकते हैं। एक बड़े और करीबी समुदाय ने कई परियोजनाओं का गठन किया है, जो आपके द्वारा पाई गई बग को ठीक करने और ठीक करने के लिए हमेशा तैयार है। अंत में, आप स्वयं बग को ठीक कर सकते हैं या आवश्यक एक्सटेंशन लिख सकते हैं। इसके अलावा, आप डेटाबेस व्यवस्थापकों के लिए खर्चों में महत्वपूर्ण रूप से बचत कर सकते हैं, क्योंकि गैर-संबंधपरक DBMS संबंधपरक लोगों की तुलना में बहुत सरल होते हैं और ज्यादातर मामलों में उन्हें समर्थन देने के लिए किसी विशेष कर्मचारी की आवश्यकता नहीं होती है।

प्रश्न: NoSQL का उपयोग कौन करता है?
A: जैसा कि आप देख सकते हैं, NoSQL DBMSs में कई बेशुमार फायदे हैं। आइए विचार करें कि उनका उपयोग कौन करता है:

• "क्लाउड" सेवाएं, अर्थात् Google, अमेज़ॅन और यहां तक ​​कि Microsoft से विंडोज एज़्योर।
• पोर्टल और सोशल नेटवर्क: फेसबुक, ट्विटर, लिंक्डइन - मुझे लगता है कि आप सूची को स्वयं जारी रख सकते हैं।
• सास। कंपनियों की बढ़ती संख्या उन उद्योगों में व्यापार करने के लिए मुख्य प्लेटफॉर्म के रूप में सॉफ्टवेयर-ए-सर्विस समाधान चुन रही है जहां बुनियादी ढांचा भार लगातार बढ़ रहा है। कई सास समाधान प्रदाता NoSQL पर स्विच कर रहे हैं। तो, उदाहरण के लिए, Salesforce.com - सास सीआरएम के क्षेत्र में अग्रणी था।
• Startups। यह उन परियोजनाओं की एक अलग श्रेणी है, जिन्हें भविष्य में सुपर मुनाफे की उम्मीद के साथ न्यूनतम बजट के साथ लॉन्च किया गया है। ऐसी परियोजनाएं अक्सर NoSQL समाधानों का चयन करती हैं, क्योंकि, सबसे पहले, वे सस्ते होते हैं, और दूसरी बात, वे भविष्य के लिए एक उत्कृष्ट आरक्षित का प्रतिनिधित्व करते हैं यदि परियोजना लोकप्रिय हो जाती है।

हैकर पत्रिका, फरवरी (02) 157
इल्या वर्बिटस्की ( blog.chivavas.org )

हैकर की सदस्यता लें

• 1 999 पी। पेपर विकल्प के 12 नंबरों के लिए
• 1249 आरयूआर iOS / iPad की वार्षिक सदस्यता के लिए (Android रिलीज़ जल्द ही आ रहा है!)
• एंड्रॉइड पर हैकर