Атака за допомогою ін'єкцій у скриптах

Якщо ви використовуєте JavaScript, переконайтеся, що всі змінні, які перетинають кордон PHP-JavaScript, передаються в поле scope MongoDB\BSON\Javascript, а не інтерполуються у рядок JavaScript. Це може виникнути під час використання пропозицій $where у запитах, командах mapReduce та group, а також у будь-який інший час, коли ви можете передати JavaScript до бази даних.

Наприклад, припустимо, що ми маємо деякий JavaScript, щоб вітати користувача в журналах бази даних. Ми могли б зробити:

Loading...
▶

Однак що, якщо зловмисник передасть JavaScript?

Loading...
▶

Тепер MongoDB виконає рядок JavaScript "print('Привіт, '); db.users.drop(); print('!');". Цю атаку легко уникнути: використовуйте args для передачі змінних з PHP до JavaScript:

Loading...
▶

Це додає аргумент у область JavaScript, яка використовується як аргумент для функції greet. Тепер, якщо хтось спробує надіслати шкідливий код, MongoDB надрукує нешкідливо Вітання, '); db.dropDatabase(); print('!

Використання аргументів допомагає запобігти виконанню шкідливого введення базою даних. Тим не менш, ви повинні переконатися, що ваш код не перевернеться і все одно виконає введення! Найкраще уникати виконання будь-якогоJavaScript на сервере.

Настійно рекомендується уникати речення » $where clause із запитами, оскільки це суттєво впливає на продуктивність. По можливості використовуйте або звичайні оператори запитів, або » Aggregation Framework

Як альтернатива » MapReduce, що використовує JavaScript, розгляньте можливість використання » Aggregation Framework. На відміну від Map/Reduce, він використовує ідіоматичний мову для побудови запитів, без необхідності писати та використовувати повільніший підхід JavaScript, який потрібний для Map/Reduce.

Команда» eval застаріла з MongoDB 3.0, і її слід уникати.