Nosqli：一款功能强大的NoSQL注入命令行接口工具

Nosqli

站在用户的角度思考问题，与客户深入沟通，找到邯山网站设计与邯山网站推广的解决方案，凭借多年的经验，让设计与互联网技术结合，创造个性化、用户体验好的作品，建站类型包括：做网站、成都做网站、企业官网、英文网站、手机端网站、网站推广、申请域名、虚拟空间、企业邮箱。业务覆盖邯山地区。

Nosqli是一款功能强大的NoSql注入命令行接口工具，本质上来说，它就是一款NoSQL扫描和注入工具。Nosqli基于Go语言开发，是一款易于使用的NoSql注入工具，并且提供了完整的命令行接口，而且支持安全研究人员根据自己的需要来进行自定义配置。

该工具的运行速度非常快，而且扫描结果准确，具备高可用性。除此之外，其命令行接口的使用也非常简单。

功能介绍

Nosqli当前支持针对MongoDB的NoSql注入检测，该工具目前可以执行下列测试：

  • 基于错误的测试：注入各种字符和Payload，扫描已知的Mongo错误响应;
  • 布尔盲注测试：注入包含True/False参数的Payload，并尝试判断是否存在注入点;
  • 基于时间的测试：尝试向目标服务器注入时间延迟，并根据响应判断是否存在注入点;

工具下载

广大研究人员请直接访问该项目的Releases页面并现在对应操作系统的最新版本Nosqli。下载完成后，安装在指定路径，或直接从本地文件目录中运行。

工具使用

广大研究人员可以直接按照下列方式直接运行注入命令或查看帮助信息。

 
 
 
 
    
  
  
  
  
  1. $ nosqli 
    2. 
  
  
  
  
  2.  
    3. 
  
  
  
  
  3. NoSQLInjector is a CLI tool for testing Datastores that 
    4. 
  
  
  
  
  4.  
    5. 
  
  
  
  
  5. do not depend on SQL as a query language. 
    6. 
  
  
  
  
  6.  
    7. 
  
  
  
  
  7.   
    8. 
  
  
  
  
  8.  
    9. 
  
  
  
  
  9. nosqli aims to be a simple automation tool for identifying and exploiting 
    10. 
  
  
  
  
  10.  
    11. 
  
  
  
  
  11. NoSQL Injection vectors. 
    12. 
  
  
  
  
  12.  
    13. 
  
  
  
  
  13.   
    14. 
  
  
  
  
  14.  
    15. 
  
  
  
  
  15. Usage: 
    16. 
  
  
  
  
  16.  
    17. 
  
  
  
  
  17.   nosqli [command] 
    18. 
  
  
  
  
  18.  
    19. 
  
  
  
  
  19.   
    20. 
  
  
  
  
  20.  
    21. 
  
  
  
  
  21. Available Commands: 
    22. 
  
  
  
  
  22.  
    23. 
  
  
  
  
  23.   help        Help about any command 
    24. 
  
  
  
  
  24.  
    25. 
  
  
  
  
  25.   scan        Scan endpoint for NoSQL Injection vectors 
    26. 
  
  
  
  
  26.  
    27. 
  
  
  
  
  27.   version     Prints the current version 
    28. 
  
  
  
  
  28.  
    29. 
  
  
  
  
  29.   
    30. 
  
  
  
  
  30.  
    31. 
  
  
  
  
  31. Flags: 
    32. 
  
  
  
  
  32.  
    33. 
  
  
  
  
  33.       --config string       config file (default is $HOME/.nosqli.yaml) 
    34. 
  
  
  
  
  34.  
    35. 
  
  
  
  
  35.   -d, --data string         Specify default post data (should not include any injection strings) 
    36. 
  
  
  
  
  36.  
    37. 
  
  
  
  
  37.   -h, --help                help for nosqli 
    38. 
  
  
  
  
  38.  
    39. 
  
  
  
  
  39.   -p, --proxy string        Proxy requests through this proxy URL. Defaults to HTTP_PROXY environment variable. 
    40. 
  
  
  
  
  40.  
    41. 
  
  
  
  
  41.   -r, --request string      Load in a request from a file, such as a request generated in Burp or ZAP. 
    42. 
  
  
  
  
  42.  
    43. 
  
  
  
  
  43.   -t, --target string       target url eg. http://site.com/page?arg=1 
    44. 
  
  
  
  
  44.  
    45. 
  
  
  
  
  45.   -u, --user-agent string   Specify a user agent 
    46. 
  
  
  
  
  46.  
    47. 
  
  
  
  
  47.   
    48. 
  
  
  
  
  48.  
    49. 
  
  
  
  
  49. Use "nosqli [command] --help" for more information about a command. 
    50. 
  
  
  
  
  50.  
    51. 
  
  
  
  
  51.   
    52. 
  
  
  
  
  52.  
    53. 
  
  
  
  
  53. $ nosqli scan -t http://localhost:4000/user/lookup?username=test 
    54. 
  
  
  
  
  54.  
    55. 
  
  
  
  
  55. Running Error based scan... 
    56. 
  
  
  
  
  56.  
    57. 
  
  
  
  
  57. Running Boolean based scan... 
    58. 
  
  
  
  
  58.  
    59. 
  
  
  
  
  59. Found Error based NoSQL Injection: 
    60. 
  
  
  
  
  60.  
    61. 
  
  
  
  
  61.   URL: http://localhost:4000/user/lookup?=&username=test 
    62. 
  
  
  
  
  62.  
    63. 
  
  
  
  
  63.   param: username 
    64. 
  
  
  
  
  64.  
    65. 
  
  
  
  
  65.   Injection: username=' 
    66.

大家可以使用存在漏洞的NodeJS应用程序或其他的NoSql注入实验平台来测试该工具的使用。

源码构建

如果大家想要自行动手构建源码，或针对特定的平台进行源码编译，大家可以先按照下列方式将该项目源码克隆至本地，然后安装依赖，最后手动构建项目。这里要求设备上安装好最新的Go开发远景，然后配置好GOPATH环境变量。

 
 
 
 
    
  
  
  
  
  1. $ git clone https://github.com/Charlie-belmer/nosqli 
    2. 
  
  
  
  
  2.  
    3. 
  
  
  
  
  3. $ cd nosqli 
    4. 
  
  
  
  
  4.  
    5. 
  
  
  
  
  5. $ go get ./.. 
    6. 
  
  
  
  
  6.  
    7. 
  
  
  
  
  7. $ go install 
    8. 
  
  
  
  
  8.  
    9. 
  
  
  
  
  9. $ nosqli -h 
    10.

运行测试

该工具自带了一个测试套件，研究人员可以在该项目根目录下运行go test来进行简单的注入检测：

 
 
 
 
    
  
  
  
  
  1. go test ./... 
    2.

除此之外，Nosqli还提供了针对本地运行的已知易受攻击应用程序来进行注入的测试集。要使用集成测试，请安装并运行易受攻击的NodeJS Mongo注入应用程序，或者我提供的PHP Lab。接下来，我们需要在运行命令时提供集成参数：

 
 
 
 
    
  
  
  
  
  1. go test ./... -args -integrations=true 
    2.

项目地址

Nosqli：【GitHub传送门】

新闻标题：Nosqli：一款功能强大的NoSQL注入命令行接口工具
链接分享：http://www.shufengxianlan.com/qtweb/news45/39545.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联

猜你还喜欢下面的内容

品牌网站设计知识

行业网站建设

app制作　　 　西部信息服务器托管　　 　网站推广　　 　成都SEO公司　　 　帝美豪门窗　　 　广安园林景观设计　　 　上市企业网站建设方案　　 　中国电信成都枢纽中心　　 　主机租用　　 　梅州网站建设　　 　IDC机房托管　　 　成都网站维护公司　　 　高端网站建设　　 　led无边发光字　　 　眉山服务器托管　　 　成都主机托管　　 　公路打桩机　　 　企业网站设计　　 　国泰民安消防　　 　品牌网站建设公司