MongoDB

MongoDB Penetrasyon Testi

NoSQL veri tabanı sistemleri arasında oldukça popüler olan MongoDB, klasik penetrasyon testi süreçlerinden biraz daha farklı yaklaşımları içermektedir. Özellikle MongoDB’yi kullanan web uygulamaları test edilirken standart yaklaşımlar yetersiz olacaktır. Bu konu üzerine daha önce hazırladığım MongoDB ve NoSQL Injection dökümanını okuyabilirsiniz.

1 – Metasploit MongoDB Auxiliary Modül

Penetrasyon Testi uzmanının olmaz ise olmazı Metasploit, mongodb için aux modülü bulundurmakta. Özellikle Network penatrasyonu testi sürecinde yapılan scanning işleminden sonra eğer MongoDB sunucuları tespit edilirse, username/password brute force deneme konusunda ümitsiz olmayın. Pek çok yapıda MongoDB’nin blank password ile kurulu olduğunu tecrübe etmiş bulunmaktayım.

Modül pek çok özellik barındırmakta. Hedef MongoDB sunucuna yapılacak deneme yanılmılma saldırıları için şifre ve username listesi belirleyebilmektesiniz.

2 – NoSQLMap

NoSQL sorguları, standart ilişkisel veri tabanı sorgularından çok farklıdır. Bu nedenle Mongo ile daha önce tecrübeniz yoksa NoSQLMap oldukça işinize yarayacaktır. MongoDB sunucusuna erişim imkanı sağladıktan sonra hedef sunucuda ki database ve collection’ları kendi yerel mongodb sunucunuza aktarabilmek gibi güzel özellikleri olan bu tool Python ile geliştirilmiştir ve açık kaynak kodludur.

Ayrıca MongoDB 2.2.4 öncesi versiyonlarda geçerli olan Authenticated Remote Code Execution zafiyetini kullanabilmektedir.

https://github.com/tcstool/nosqlmap

Güzel bir demo olan aşağıdaki youtube videosunu izlemenizi öneririm.