过来人说NOSQL注：那些年我踩过的“非关系型”大坑，句句扎心！
哎，兄弟们，姐妹们，看过来！今天我这个“过来人”想跟你们掏心窝子聊点真东西，别看咱平时嘻嘻哈哈，但说到NOSQL注入，我这后脊梁骨还是嗖嗖冒凉风啊！真的，不骗你们，这玩意儿比传统SQL注入还阴险，专治各种不服，尤其是咱们这些自诩“技术过硬”的老油条。
你们是不是觉得，哎呀，现在都什么年代了，Redis、MongoDB、Elasticsearch满天飞，谁还用那老掉牙的MySQL拼接字符串啊？那你就大错特错了！我当年也是这么想的，结果呢？呵呵，差点把裤衩子都赔进去，我就把那些拿血泪换来的经验倒给你们听听，尤其是最后一条，啧啧,价值千金！
你以为的内存数据库，真的是“金钟罩”？
很多小伙伴跟我说，老大，我用的是Redis，全是键值对，怎么注入？我当时就笑了，天真！太天真了！NOSQL注入的精髓，恰恰是利用了开发者的“思维定式”，你以为你存的是字符串，但在某些场景下，比如用Redis做排行榜、做计数器，你用ZADD、ZINCRBY命令时，如果图方便,直接把用户输入的排序因子拼进去，
ZADD rank:game:2024 1000 user_123
这看起来没问题吧？但如果我把输入稍微改一下呢？
1000 user_123") UNION SELECT ...
哎，别笑！虽然Redis本身是个数据库，但如果你用了Lua脚本（这玩意儿在Redis里就是“神”一样的存在），或者在某些中间件过滤不严的情况下，那可就精彩了。这可是活生生把“非关系型”搞成了“关系型”的降维打击，你们记住，任何把外部输入直接拼接到命令、脚本、查询条件里的行为，都是在给黑客递刀子，哪怕你是“内存数据库”,也不代表你的逻辑就固若金汤。
Mongo的“花式玩死你”：数据怎么没的都不知道
再说说MongoDB，哎呀，说起这个我更来气！它的查询走的是JSON结构，老规矩，我们喜欢用,db.collection.find({username: req.body.username})，这没毛病，但遇到“高手”呢？人家给你传过来一个恶心的东西：
{ "$gt": "" }
好家伙，直接就把你的find({username: ""})变成了find({username: {"$gt": ""}})，啥意思？就是只要username字段大于空字符串，全给你查出来！这叫什么？这叫“逻辑操作符滥用”！你以为你在查“张三”，结果人家把“李四”、“王五”甚至整个用户表全拎出来了,老刺激了！
更狠的还有一种，叫$where，这玩意儿可以直接执行JavaScript，你要是敢在$where后面拼接用户输入，那恭喜你，基本等于把数据库的钥匙挂在大门口了，我见过最惨烈的案例，就是某个小兄弟，为了图省事，把排序字段直接丢进了$where里做动态计算，结果人家直接用while(true){}把整个数据库跑死，CPU直接拉满，直接宕机，我滴妈，那场面,老板的脸都绿了！
别迷信NoSQL的“No”字，它只是“非关系”，不是“无关系”！
ES的“全文搜索”算是优雅？那是你没见过“爆力破解”
聊完Mongo，咱们必须提提Elasticsearch，这玩意儿搜索快，的确是神器，但注入起来也毫不含糊，你们是不是经常用Query DSL？像这样：
{"query": {"match": {"title": "我的文章标题"}}}
这看着挺安全的吧？但如果你用了query_string呢？
{
"query": {
"query_string": {
"default_field": "title",
"query": "用户输入"
}
}
}
兄弟们，这里面门道可太多了！ES的查询语法极其丰富，有通配符、，有模糊，还有各种布尔操作符AND/OR/NOT，只要你敢把用户输入直接塞进query_string，人家就能通过构造特殊语法，比如绕过分词逻辑，或者通过{"match_all": {}}来绕过你的权限限制，直接拖库，这叫啥？这叫人家的“语法糖”变成你的“剧毒砒霜”！
而且你们知道最气人的是什么吗？很多安全扫描器对这种NOSQL注入的检出率极低，因为它们还在用SQL的语法规则去套，根本套不上！得亏我当初装了个脾气好点的WAF,不然早就被开除了！
过来人的“板蓝根”与“后悔药”
天天说这么多，肯定有兄弟们问，那到底咋防啊？别急，我这当老大哥的,肯定得给你们留点压箱底的干货：
第一，能不用拼接就不用拼接！ 哪怕是NoSQL，也有类似预编译的机制，比如MongoDB的mongoose的populate和参数化，或者ES的bool查询封装，千万别图省事直接字符串拼。记住了，懒是原罪！
第二，给输入加个“紧箍咒”！ 服务端一定要做白名单校验，比如排序字段只能是id、created_at，其他的想都别想。别相信前端传回来的任何东西，哪怕是数字，也给我用Number()包一下！ 真的，这一步能挡掉90%的脚本小子。
第三，最小权限原则！ 给你的数据库账号就只开放SELECT权限，别给满读写权限，万一被打了，顶多就是读点数据，不至于把整个库给你删个精光，我见过太多因为权限过大，被删库跑路的兄弟了，那叫一个惨啊,泪目。
哎，说了这么多，心里舒坦多了，这行是真心不容易，天天跟黑客斗智斗勇，还得防着傻X同事掉链子，但咱们不就是图个“技术改变世界”的爽感嘛？虽然过程中头秃、胃疼、心态炸，但搞定一个难题后的快感,也是真的爽！
行了行了，不扯淡了，我得去给自己续个杯咖啡压压惊了，最后再啰嗦一句：无论啥数据库，安全的第一道防线永远是“人”的意识，别让自己的懒癌，成为别人随意进出的后门。
如果各位兄弟姐妹们也想聊聊网络安全，或者对这边文章里的坑有啥想吐槽的,欢迎骚扰！
学习网络安全可以加QQ：123456789（备注“过来人”更佳哦！）
