Seguridad de Mongodb en node.js

Question

Por ejemplo, una base de datos MySQL presenta problemas de seguridad conocidos. ¿Cómo se aplica esto a un db NoSQL? p.ej. Inyecciones, xss, etc. ¿Cuál es la medida de seguridad que debe tomar al usar un db NoSQL? Específicamente con respecto a MongoDB (con node-mongodb-native) y Node.js (usando Express)

Y si es así, ¿hay algún módulo para Node/Express que ayude a prevenir esto?

Answer 1

Existe un problema específico para NodeJS, MongoDB (y algunas otras bases de datos NoSQL que usan mucho javascript): Serveride javascript injection. Mire here y here (pdf) para más detalles. Es más como inyección SQL que XSS.

En breve, es cuando el atacante envía javascript a su nodejs o mongodb cuando solo está esperando JSON. Así que, teóricamente, el malo puede bajar tu servicio (DOS), acceder a tus datos e incluso al sistema de archivos.

Para evitar este tipo de ataques que tienen que:

1. Evitar la creación de “ad-hoc” comandos JavaScript mediante la concatenación de la escritura con la entrada del usuario.
2. Valida la entrada del usuario utilizada en los comandos SSJS con expresiones regulares.
3. Evite el uso del comando JavaScript eval. En particular, al analizar la entrada JSON, use una alternativa más segura como JSON.parse.