जावास्क्रिप्ट NoSQL इंजेक्शन रोकथाम MongoDB

Question

में

मैं कैसे MongoDB में जावास्क्रिप्ट NoSQL इंजेक्शन रोका जा सकता है?

मैं एक नोड.जेएस एप्लिकेशन पर काम कर रहा हूं और मैं req.body पास कर रहा हूं, जो कि एक जेसन ऑब्जेक्ट है, जो मोंगोस मॉडल के सेव फ़ंक्शन में है। मैंने सोचा कि दृश्यों के पीछे सुरक्षाएं थीं, लेकिन ऐसा नहीं लगता है।

Answer 1

नोट मेरा उत्तर अब प्रासंगिक नहीं हो सकता है। कृपया अन्य उत्तरों का संदर्भ लें।

-

एक ग्राहक के रूप में कार्यक्रम MongoDB में एक प्रश्न असेंबल, यह एक BSON वस्तु, न कोई स्ट्रिंग बनाता है। इस प्रकार पारंपरिक एसक्यूएल इंजेक्शन हमले एक समस्या नहीं हैं।

जानकारी के लिए documentation

अद्यतन

eval जो मनमाने ढंग से जे एस निष्पादित कर सकते हैं की तरह अभिव्यक्ति से बचें का पालन करें। यदि आप उपयोगकर्ता से इनपुट ले रहे हैं और eval चल रहे इनपुट की सफाई किए बिना अभिव्यक्तियों को चला रहे हैं तो आप स्क्रू कर सकते हैं। जैसा कि JoBu1324 द्वारा इंगित किया गया है, where, mapReduce और group जैसे संचालन सीधे जेएस अभिव्यक्ति निष्पादित करने की अनुमति देता है।

Answer 2

हालांकि पोस्ट अप्रचलित है, मैं जवाब दे रहा हूँ।

मुझे तीन तरीकों से पता है।

पहले: एक बहुउद्देशीय content-filter नहीं है। फ़िल्टरिंग करके मोंगो डीबी इंजेक्शन संरक्षण भी प्रदान करता है।

दूसरा:mongo-sanitize, हेल्पर क्वेरी चयनकर्ता इंजेक्शन के खिलाफ MongoDB प्रश्नों को साफ़ करने में।

तीसरा: मैं over here इस समाधान जो MongoDB के लिए भी लागू किया जा सकता देखा था। इसे लागू करना वाकई आसान है। जावास्क्रिप्ट के अंतर्निहित escape() फ़ंक्शन का उपयोग करें।

escape() स्ट्रिंग को ascii कोड में परिवर्तित करता है। $ne को %24ne में परिवर्तित किया गया है।

var privateKey = escape(req.params.privateKey); 

App.findOne({ key: privateKey }, function (err, app) { 
    //do something here 
} 

Answer 3

Sushant के जवाब सही नहीं है। आप को मोंगोडीबी में नोएसक्यूएल इंजेक्शन के बारे में जागरूक होने के लिए की आवश्यकता है।

उदाहरण (here से लिया)

User.findOne({ 
    "name" : req.params.name, 
    "password" : req.params.password 
}, callback); 

तो req.params.password{ $ne: 1 } है, तो उपयोगकर्ता पासवर्ड जानने के बिना पुनः प्राप्त किया जाएगा ($ne मतलब है नहीं के बराबर होती है 1)।

MongoDB ड्राइवर

आप उपयोग कर सकते हैं mongo-sanitize:

यह किसी भी कुंजी है कि इनपुट में '$' के साथ शुरू नहीं हटेगा, तो आप के बारे में चिंता किए बिना MongoDB करने के लिए इसे पारित कर सकते हैं दुर्भावनापूर्ण उपयोगकर्ता ओवरराइटिंग।

var sanitize = require('mongo-sanitize'); 

var name = sanitize(req.params.name); 
var password = sanitize(req.params.password); 

User.findOne({ 
    "name" : name, 
    "password" : password 
}, callback); 

नेवला ड्राइवर

के रूप में यह एक स्कीमा इस प्रकार है, अगर पासवर्ड एक स्ट्रिंग क्षेत्र है, यह वस्तु { $ne: 1 } स्ट्रिंग के लिए परिवर्तित कर देंगे और कोई नुकसान किया जाएगा। इस मामले में, आपको स्वच्छता की आवश्यकता नहीं है, बस उचित स्कीमा सेट करना याद रखें।