Jak niebezpieczne jest zapytanie mongo, które jest pobierane bezpośrednio z ciągu zapytania adresu URL?

Question

Gram w pobliżu z node.js, express i mongoose.

W trosce o to, aby coś w tej chwili działało, przechodzę przez obiekt ciągu zapytań ekspresowych bezpośrednio do funkcji wyszukiwania mongoose. Ciekawi mnie, jak niebezpieczna byłaby ta praktyka w aplikacji na żywo. Wiem, że RDBMS byłby bardzo podatny na iniekcję SQL. Oprócz dobrych rad „zdezynfekować swoje wejścia” jak zły jest ten kod:

app.get('/query', function (req, res) { 
    models.findDocs(req.query, function (err, docs) { 
      res.send(docs); 
     }); 
}); 

znaczy, że aa get żądanie http://localhost:8080/query?name=ahsteele&status=a po prostu wpakować następujące do funkcji findDocs:

{ 
    name: 'ahsteele', 
    status: 'a' 
} 

to czuje icky z wielu powodów, ale jak niebezpieczne jest to? Jaka jest najlepsza praktyka przekazywania parametrów zapytania do mongodb? Czy ekspres zapewnia jakiekolwiek odkażanie z pudełka?

Answer 1

miarę wtrysku będącego problem, jak z SQL, ryzyko jest znacznie niższe ... chociaż teoretycznie możliwe poprzez nieznanego atakiem.

Struktury danych i protokół są sterowane binarnie i przez API, a nie wykorzystują wartości zacieniowane w obrębie określonego języka. Zasadniczo nie można po prostu oszukać parsera, dodając na końcu "; db.dropCollection()".

Jeśli jest używany tylko dla zapytań, to chyba dobrze ... ale to wciąż ostrzegają, aby użyć odrobinę walidacji:

• Upewnij się tylko znaki alfanumeryczne (filtr lub utratę wartości null i nic innego normalnie nie akceptuje)
• Wymuszanie długość max (jak 255 znaków) za semestr
• Wymuszanie max długość całego zapytania
• Gazy specjalne nazwy parametrów zaczynające się od „$”, podobnie jak „$ gdzie" & takie
• Nie dopuszczać zagnieżdżonych tablic/Dokumenty/mieszań ... Tylko strun & ints

Ponadto, należy pamiętać, pusty zapytanie zwraca wszystko. Możesz chcieć ograniczyć tę wartość zwracaną.:)

Answer 2

O ile wiem, Express nie zapewnia żadnej kontroli nad pudełkiem w celu odkażenia. Możesz napisać własne oprogramowanie pośrednie, wykonując kilka prostych kontroli we własnej logice. A jak powiedziałeś, sprawa, o której wspomniałeś, jest nieco ryzykowna.

Jednak dla ułatwienia użytkowania wymagane typy wbudowane w modele Mongoose dają co najmniej domyślne sanitizacje i pewną kontrolę nad tym, co dostaje się lub nie.

Np coś takiego

var Person = new Schema({ 
    title : { type: String, required: true } 
, age  : { type: Number, min: 5, max: 20 } 
, meta : { 
     likes : [String] 
    , birth : { type: Date, default: Date.now } 
    } 

});

Sprawdź to również po więcej informacji.

http://mongoosejs.com/docs/2.7.x/docs/model-definition.html

Answer 3

wtrysk Operator jest poważnym problemem i polecam przynajmniej kodowanie/ucieczki niektórych znaków, a dokładniej $ symbol: http://docs.mongodb.org/manual/faq/developers/#dollar-sign-operator-escaping

Jeśli użytkownik ma prawo dołączyć $ symbolu na początek ciągów lub elementów w twoim $_GET lub $_POST lub cokolwiek innego będą one szybko używać do: http://xkcd.com/327/ i będziesz co najmniej gonner.