hunt-nosqli 是一个面向授权安全测试的 NoSQL 注入漏洞挖掘技能，来源 uphiago/recon-skills。
用途：识别并验证 NoSQL 注入，重点在认证绕过（严重）与用户集合泄露（高危）。最高价值链路包括 MongoDB 认证绕过、$where JavaScript 注入盲注数据外带、通过 SSRF 的 Redis 命令注入、以及旧版 Elasticsearch 脚本注入。
主要能力与信号：关注接受 JSON 体的登录接口，以及 /api/search?q=、/api/find?filter=、/api/query?where= 等参数；响应中的 MongoDB 报错、JS 包中的 mongoose/monk、X-Powered-By: Express、暴露的 CouchDB _utils、SSRF 可达的 Redis 6379、开放的 Elasticsearch 9200 均为线索。
使用方式：通过 JSON 体或 URL 参数注入操作符，如 {"username": {"$gt": ""}, "password": {"$gt": ""}}；URL 数组写法 username[$gt]=&password[$gt]=；用 $regex 通配枚举；用 $where 加时间延迟做盲注确认，并按字符枚举数据。自动化可用 pip3 install nosqlmap 后执行 nosqlmap -u "https://$TARGET/api/login" --attack 1（枚举）或 --attack 2（数据提取）。若发现 SSRF，可尝试 gopher://127.0.0.1:6379/_... 探测 Redis。
验证与分级：认证绕过需无凭据登录并拿到有效会话令牌；数据枚举需返回越权数据；盲注需时间延迟稳定 >4 秒。管理员认证绕过为 Critical，用户集合泄露为 High，无有效外带的盲注为 Medium。绕过手段包括 URL 数组代替 JSON 对象、Unicode 编码操作符、嵌套对象等。
限制：需授权测试范围；$where 需目标启用；仅 true/false 的盲注较难利用；$regex 可注入时需证明可枚举提取。资料未提供收费、价格与具体平台信息。