# Detecting NoSQL injection

Description:

The product category filter for this lab is powered by a MongoDB NoSQL database. It is vulnerable to NoSQL injection.

To solve the lab, perform a NoSQL injection attack that causes the application to display unreleased products.

Proof of concept:

1. Analisa pada web target\\

   <figure><img src="https://261650435-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FdAiS2nxqUmGSg5rZoOOl%2Fuploads%2FOMIhW3wcPoCxNqpvH8gi%2Fimage%20(82).png?alt=media&#x26;token=946ba5c0-8717-4583-8b6b-90f1317a3d1e" alt=""><figcaption></figcaption></figure>
2. Dari hasil analisa terdapat parameter `category` untuk memilih kategori produk. Inputkan karaketer `single quote (’)` untuk mendeteksi apakah parameter tersebut rentan terhadap injection atau tidak\\

   <figure><img src="https://261650435-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FdAiS2nxqUmGSg5rZoOOl%2Fuploads%2FunlpWBbRYTD1b8aI3lct%2Fimage.png?alt=media&#x26;token=d1b1b177-63d3-4b5f-8832-c06b62b367f2" alt=""><figcaption></figcaption></figure>

   <figure><img src="https://261650435-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FdAiS2nxqUmGSg5rZoOOl%2Fuploads%2FJOeSgOobD83ScTMkr6fV%2Fimage.png?alt=media&#x26;token=f6d3578a-9bf1-44b9-8592-8e3b1e67281c" alt=""><figcaption></figcaption></figure>
3. Ketika diinputkan karakter `(’)` maka muncul error, yang artinya da kemungkinan rentan terhadap injection. Untuk lebih memastikannya inputkan `(\’)` bila tidak muncul pesan error maka parameter tersebut rentan terhadap NOSQL injection\\

   <figure><img src="https://261650435-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FdAiS2nxqUmGSg5rZoOOl%2Fuploads%2FiUNkkTb4nDhWKlHDl9JK%2Fimage.png?alt=media&#x26;token=6aa21e03-ee9d-4bd2-9697-87974ce95f66" alt=""><figcaption></figcaption></figure>
4. Untuk menyelesaikan tangtangan pada lab ini dengan menampilkan seluruh produk baik yang rilis ataupun tidak dapat menggunakan payload injection berikut `‘||1||’`. Maka seluruh data produk akan tampil\\

   <figure><img src="https://261650435-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FdAiS2nxqUmGSg5rZoOOl%2Fuploads%2FzEARIHv3MWpBCw04OEpW%2Fimage.png?alt=media&#x26;token=98fc41f0-b170-4fbb-a91d-2d661ac6725d" alt=""><figcaption></figcaption></figure>

Thanks, Stay Ethical & Happy Hacking! 🍻
