JavaScript NoSQL Injektionsprävention in MongoDB

Question

Wie kann ich JavaScript NoSQL-Injektionen in MongoDB verhindern?

Ich arbeite an einer Node.js-Anwendung und ich übergebe req.body, die ein Json-Objekt ist, in die Speicherfunktion des Mungo-Modells. Ich dachte, hinter den Kulissen wären Sicherheitsvorkehrungen, aber das scheint nicht der Fall zu sein.

Answer 1

Hinweis Meine Antwort ist möglicherweise nicht mehr relevant. Bitte beziehen Sie sich auf andere Antworten.

-

Als Client-Programm fügt eine Abfrage in MongoDB, es baut ein BSON Objekt, keinen String. Daher sind herkömmliche SQL-Injection-Angriffe kein Problem.

Für Details folgen Sie der documentation

UPDATE

Ausdruck wie eval vermeiden, die beliebige JS ausführen kann. Wenn Sie Eingaben vom Benutzer nehmen und eval ähnliche Ausdrücke ausführen, ohne die Eingabe zu bereinigen, können Sie etwas vermasseln. Wie von JoBu1324 gezeigt, ermöglichen Operationen wie where, mapReduce und group, JS-Ausdrücke direkt auszuführen.

Answer 2

Obwohl die Post veraltet ist, antworte ich.

Ich kenne drei Möglichkeiten.

Erstens: Es ist ein multifunktionales content-filter. Bietet außerdem MongoDB-Injektionsschutz durch Filtern.

Zweitens:mongo-sanitize, Helfer zu mongodb Abfragen für Abfrage-Auswahl Injektionen zu sanieren.

Drittens: ich over here diese Lösung gesehen hatte, die auch für MongoDB angewendet werden kann. Es ist wirklich einfach zu implementieren. Verwenden Sie nur die integrierte escape()-Funktion von JavaScript.

escape() konvertiert die Zeichenfolge in ascii Code. $ne wird in %24ne umgewandelt.

var privateKey = escape(req.params.privateKey); 

App.findOne({ key: privateKey }, function (err, app) { 
    //do something here 
} 

Answer 3

Sushant ‚s Antwort ist nicht korrekt. Sie müssen NoSQL-Injektion in MongoDB beachten.

Beispiel (aus here)

User.findOne({ 
    "name" : req.params.name, 
    "password" : req.params.password 
}, callback); 

Wenn req.params.password ist { $ne: 1 }, wird der Benutzer ohne zu wissen, das Passwort abgerufen werden ($ne bedeutet nicht gleich 1).

MongoDB-Treiber

können Sie verwenden mongo-sanitize:

Es werden alle Tasten Streifen aus, die mit '$' in den Eingang zu starten, so dass Sie es MongoDB über passieren können, ohne sich Gedanken böswillige Benutzer überschreiben.

var sanitize = require('mongo-sanitize'); 

var name = sanitize(req.params.name); 
var password = sanitize(req.params.password); 

User.findOne({ 
    "name" : name, 
    "password" : password 
}, callback); 

Mongoose Treiber

Da es ein Schema folgt, wenn das Passwort ein String-Feld ist, wird es das Objekt { $ne: 1 } in String konvertiert und wird kein Schaden angerichtet werden. In diesem Fall müssen Sie nicht bereinigen, denken Sie daran, ein geeignetes Schema zu erstellen.