Meteor NoSQL 盲注漏洞分析与防御指南

0x00 漏洞概述

Meteor框架中存在一种基于正则表达式的NoSQL盲注入漏洞，攻击者可以通过精心构造的查询参数逐步提取数据库中的敏感信息。该漏洞源于未对用户输入进行充分验证，允许攻击者利用Meteor的公开方法进行布尔型盲注攻击。

0x01 漏洞原理

漏洞发现过程

1. 发现公开可调用的users.count方法，该方法返回应用程序中已注册用户数
2. 空参数{}调用返回1923（总用户数）
3. 参数{"username": "kertojasoo"}返回1（特定用户存在）

漏洞利用机制

攻击者可以利用Meteor的NoSQL查询特性，通过$regex操作符进行布尔测试：

Meteor.call("users.count", {
    "username": "kertojasoo",
    "token": {$regex: '^[a-z].*'} // 测试token是否以小写字母开头
}, console.log);

通过二分法逐步缩小范围，最终可以枚举出完整的token值：

1. 首先确定第一个字符范围（a-z）
2. 然后缩小到前半部分（a-m）
3. 重复此过程直到确定第一个字符
4. 将已知字符加入正则表达式，继续枚举下一个字符

0x02 Meteor方法基础

Meteor方法定义

服务器端定义：

Meteor.methods({
  'users.count'({ filter }) {
    return Meteor.users.find(filter).count();
  }
});

客户端调用：

Meteor.call('users.count', (err, res) => {
  console.log(res);
});

安全风险

• 所有公开方法都必须实现授权验证
• 必须严格验证所有用户输入参数
• 类似于REST API，需要保护所有接口

0x03 漏洞挖掘方法

枚举公开Meteor方法

1. 提取代码：

   • Meteor应用构建后会打包所有JavaScript到一个文件
   • 查看源代码最后一行（以var require=开头部分）

2. JS美化：

   • 使用代码编辑器或在线工具格式化JS代码
   • 仅保留应用自身代码，排除包和模板代码

3. 过滤方法：

   • 搜索.call("和.methods(查找可调用方法
   • 注意测试相关参数提示

4. 测试验证：

   • 在DevTools控制台中尝试调用发现的方法
   • 简单测试：Meteor.call("method.name", console.log)
   • 带参数测试：Meteor.call("method.name", {key:"value"}, console.log)

自动化工具

GitHub上有自动提取公开Meteor方法的bash脚本，但仅限授权测试使用。

0x04 漏洞危害评估

影响范围

• Shodan.io报告38,105个Meteor服务主机
• BuiltWith统计17,334个网站使用Meteor
• 分析显示互联网上至少有659,746个公开的Meteor方法
• 平均每个Meteor应用包含70种方法

高风险关键词方法

0x05 漏洞防御措施

输入验证

1. 严格参数验证：

   • 验证所有传入参数的类型和格式
   • 使用check或Match包进行模式验证

2. 限制查询操作符：

   • 禁止或限制使用$regex等危险操作符
   • 白名单方式允许安全的查询操作

授权控制

1. 方法级授权：

   • 每个方法都应检查调用者权限
   • 使用this.userId验证用户身份

2. 敏感数据保护：

   • 避免直接返回敏感字段
   • 使用投影限制返回字段

代码示例（安全实现）

Meteor.methods({
  'users.count'({ filter }) {
    // 验证用户登录
    if (!this.userId) {
      throw new Meteor.Error('not-authorized');
    }
    
    // 验证输入参数
    check(filter, Match.ObjectIncluding({
      username: Match.Optional(String)
    }));
    
    // 限制查询字段
    const query = {};
    if (filter.username) {
      query.username = filter.username;
    }
    
    return Meteor.users.find(query, {
      fields: { _id: 1 } // 仅返回ID，不泄露其他字段
    }).count();
  }
});

0x06 安全建议

1. 开发阶段：

   • 遵循Meteor安全指南
   • 使用audit-argument-checks包确保所有方法都验证参数
   • 禁用insecure和autopublish包

2. 测试阶段：

   • 进行全面的安全测试
   • 检查所有公开方法的输入验证
   • 使用自动化工具扫描潜在漏洞

3. 生产环境：

   • 确保运行在生产模式
   • 定期安全审计
   • 监控异常方法调用

4. 应急响应：

   • 准备漏洞修复方案
   • 及时更新易受攻击的应用

0x07 总结

Meteor NoSQL盲注漏洞展示了即使现代开发框架也可能存在严重安全问题。关键在于：

1. 永远不要信任客户端输入
2. 所有方法都必须实现严格的输入验证和授权
3. 敏感数据查询需要特别保护
4. 定期安全审计是必要的

开发人员应牢记安全原则，即使框架承诺"以最少的代码实现最多的功能"，也不能忽视基本的安全实践。