pentest-backend-nestjs

name

pentest-backend-nestjs

description

Pentest de backend NestJS — OWASP API Security Top 10 (2023). Cobre BOLA/IDOR, autenticação quebrada, mass assignment, SSRF, prototype pollution, injeção SQL/NoSQL, RCE via upload, race conditions (TOCTOU), JWT alg confusion, rate-limit, CORS, helmet, lógica de negócio e autorização por recurso. TRIGGERS: pentest backend, pentest nestjs, pentest api, api security, owasp api, bola, idor, mass assignment, ssrf, prototype pollution, jwt alg none, rate limit, cors misconfig, nestjs guards, nestjs security

🛡️ pentest-backend-nestjs — Auditoria Ofensiva de NestJS

Base normativa: OWASP API Security Top 10 (2023) + CWE Top 25 + NIST SP 800-95.

Required Reading

• apps/api/src/main.ts (helmet, cors, rate-limit, pipes)
• apps/api/src/app.module.ts
• libs/**/data-source/src/lib/controllers/*.ts
• libs/**/data-source/src/lib/services/*.ts
• libs/**/data-source/src/lib/entities/*.ts
• .env* (nunca commit), ormconfig.*, prisma/schema.prisma

---

API1:2023 — Broken Object Level Authorization (BOLA/IDOR)

O bug mais comum e mais lucrativo em APIs.

rg -n "@(Get|Put|Patch|Delete|Post)\(.*:id" libs/ apps/ -A 10 | rg -n "ownership|belongsTo|userId.*==.*@Req|req\.user"

Padrões a caçar:

• GET /users/:id que retorna dados sem verificar req.user.id === id ou papel admin
• PATCH /orders/:id sem checar order.userId === req.user.id
• DELETE /posts/:id sem verificar ownership
• Recursos aninhados: /users/:userId/documents/:docId sem verificar que doc.userId === userId

PoC:

# Token do usuário A
TOKEN_A=$(curl -s -X POST http://localhost:3000/auth/login -d '{"email":"[e-mail]","password":"..."}' -H 'Content-Type: application/json' | jq -r .token)
# Acessar recurso do usuário B (id=2)
curl -H "Authorization: Bearer $TOKEN_A" http://localhost:3000/users/2  # deve 403, não 200

Fix:

@Get(':id')
async findOne(@Param('id') id: string, @CurrentUser() user: UserDto) {
  const target = await this.service.findById(id);
  if (target.id !== user.id && !user.roles.includes('admin')) {
    throw new ForbiddenException();
  }
  return target;
}

Ou melhor: CASL/accesscontrol com policies centralizadas.

---

API2:2023 — Broken Authentication

JWT

rg -n "jwt\.verify|jwt\.decode|JwtModule" libs/ apps/ -A 5
rg -n "algorithms:\s*\[" libs/ apps/ -A 2

Checklist:

• algorithms: ['RS256'] explícito (nunca confiar no header alg)
• Nunca aceitar alg: none
• Nunca aceitar HS256 quando deveria ser RS256 (key confusion: atacante usa pubkey como HMAC secret)
• iss, aud, exp validados
• sub mapeado para userId consistente
• Refresh token rotativo (um uso) + armazenado em DB com hash
• Logout invalida (blacklist ou rotação de jti)
• Secret com ≥ 256 bits, lido de env, nunca de código

Login/Senha

• bcrypt/argon2 com custo ≥ 12/memoryCost≥64MB
• Rate-limit por IP + por usuário (ex: @nestjs/throttler + Redis)
• Lockout gradual (não total — permite DoS em usuários)
• Timing-safe compare (crypto.timingSafeEqual)
• 2FA via TOTP (speakeasy) ou WebAuthn
• Senha mínima 12 chars + verificação HIBP (opcional)

Sessão

• Cookie HttpOnly, Secure, SameSite=Strict (ou Lax se SSO)
• Rotação de session ID após login
• Expiração por inatividade (idle timeout)

---

API3:2023 — Broken Object Property Level Authorization

Mass Assignment + Excessive Data Exposure.

Mass assignment

rg -n "ValidationPipe" apps/api/src/main.ts -A 10
rg -n "whitelist:\s*true" apps/ libs/
rg -n "forbidNonWhitelisted:\s*true" apps/ libs/

Checklist:

• ValidationPipe({ whitelist: true, forbidNonWhitelisted: true, transform: true }) global
• DTOs de PATCH/POST NÃO incluem role, isAdmin, emailVerified, createdAt
• Entidades @Exclude({ toPlainOnly: true }) para password, refreshToken, mfaSecret
• Respostas usam ClassSerializerInterceptor + DTO de resposta distinto do DTO de entrada

PoC:

curl -X PATCH http://localhost:3000/users/me \
  -H "Authorization: Bearer $USER_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"name":"x","role":"admin","isEmailVerified":true}'
# Se 200 e retornar role=admin → critical

Excessive Data Exposure

rg -n "SELECT \*|find\(\{\}" libs/ apps/
rg -n "\.find\(|\.findOne\(" libs/ apps/ -A 3 | rg "select:"   # deve existir select allow-list

---

API4:2023 — Unrestricted Resource Consumption

• Rate-limit global (@nestjs/throttler) + por rota crítica (login, signup, reset)
• Payload limit (app.use(json({ limit: '1mb' })))
• Query limit/page com cap (ex: máx 100)
• Regex do usuário nunca aplicado diretamente (ReDoS) — usar biblioteca safe-regex
• Upload com tamanho máximo + timeout
• GraphQL com depth-limit + cost-analysis

rg -n "ThrottlerModule|@Throttle\(" libs/ apps/
rg -n "json\(\{\s*limit" apps/
rg -n "RegExp\(.*req\.|new RegExp\(.*query" libs/ apps/

---

API5:2023 — Broken Function Level Authorization

rg -n "@UseGuards\(" libs/ apps/ | wc -l
rg -n "@Controller\(" libs/ apps/ | wc -l   # ratio importa
rg -n "@Roles\(|@Permissions\(" libs/ apps/

• Guards globais (app.useGlobalGuards) + @Public() decorator explícito em endpoints abertos
• Separação /admin/* com AdminGuard (não apenas prefixo)
• Nenhum endpoint admin exposto sem role-check

---

API6:2023 — Unrestricted Access to Sensitive Business Flows

Lógica de negócio que permite abuso em massa:

• Criar contas em massa (signup sem captcha/email verify)

• Resgatar cupons em loop

• Transferências sem cooldown

• Scraping de catálogo sem rate-limit

• Captcha (hCaptcha/Turnstile) em signup/reset/pagamento

• Idempotency-key em POST financeiro

• Cooldown por conta em operações sensíveis

---

API7:2023 — Server Side Request Forgery (SSRF)

rg -n "axios\.(get|post|request)\(" libs/ apps/ -A 3 | rg "req\.|body\.|query\."
rg -n "fetch\(.*(req\.|body\.|params\.)" libs/ apps/
rg -n "http\.get\(|request\(" libs/ apps/

Cenários típicos:

• Webhook endpoint aceita URL do usuário
• Image proxy / PDF generator
• OAuth callback URL sem allowlist

Allowlist correta:

const ALLOWED_HOSTS = new Set(['api.parceiro.com']);
const url = new URL(input);
if (!ALLOWED_HOSTS.has(url.hostname)) throw new ForbiddenException();
// Bloquear 169.254.169.254 (AWS metadata), 127.0.0.1, 10.*, 192.168.*, 172.16-31.*

PoC:

curl -X POST http://localhost:3000/webhook -d '{"url":"http://169.254.169.254/latest/meta-data/iam/security-credentials/"}'

---

API8:2023 — Security Misconfiguration

Helmet / CORS / Cookies

rg -n "app\.use\(helmet" apps/api/src/main.ts
rg -n "enableCors|CorsOptions" apps/api/src/main.ts -A 8
rg -n "cookie-parser|session" apps/

• helmet() habilitado (CSP, HSTS, noSniff, frameguard, xss-filter legacy)
• CORS com origin lista/regex específica; credentials: true só com origens concretas
• X-Powered-By desabilitado (app.disable('x-powered-by') para Express ou via helmet)
• Swagger /api desabilitado em prod ou protegido por basic-auth

Error handling

rg -n "stack\s*:|toString\(\)" libs/ apps/ -A 2 | rg -i "res\.|json\("

• Nenhuma resposta em prod contém stack, query, detail do driver de DB
• ExceptionFilter global mascara internals (500 Internal Server Error genérico)

---

API9:2023 — Improper Inventory Management

• Versões antigas de API (/v1/*) desligadas após sunset
• Endpoints deprecados com 410 Gone
• Documentação em /api/docs reflete real (sem endpoints "escondidos")
• Ambientes não-prod (staging.*) com acesso restrito (IP allowlist, VPN)

---

API10:2023 — Unsafe Consumption of APIs

• Respostas de APIs externas validadas com class-validator ou zod
• Timeouts configurados (axios.create({ timeout: 5000 }))
• Retry com backoff + idempotência
• TLS validation nunca desabilitada (rejectUnauthorized: false = fail)

rg -n "rejectUnauthorized:\s*false" libs/ apps/

---

SQL / NoSQL Injection

TypeORM

rg -n "createQueryBuilder|query\(" libs/ apps/ -A 3 | rg -v "parameters:|\\?"
rg -n "\.query\(.*\$\{|\.query\(.*\+\s*" libs/ apps/

• queryBuilder.where('x = :y', { y }) — nunca concatenação
• manager.query('SQL ?', [param]) — nunca template string com user input

Prisma

• Prisma é seguro por padrão, mas $queryRawUnsafe é um anti-pattern.

rg -n "\$queryRawUnsafe|\$executeRawUnsafe" libs/ apps/

MongoDB

rg -n "\.find\(.*req\." libs/ apps/ -A 2
# Operator injection: ?email[$ne]=null

• Sanitizar $-operators (lib mongo-sanitize) ou só aceitar strings em DTO

---

Prototype Pollution

rg -n "lodash\.merge|_\.merge|object-assign-deep|deepmerge" libs/ apps/
rg -n "Object\.assign\(.*req\.body" libs/ apps/

• Lodash ≥ 4.17.21 ou substituir por @lodash/* esm modular
• JSON body middleware sem prototype: false (Fastify tem por padrão, Express não)
• Entradas com keys __proto__, constructor, prototype rejeitadas

---

RCE via Upload / Dependência / Eval

rg -n "FileInterceptor|multer" libs/ apps/ -A 10
rg -n "eval\(|new Function\(|require\(.*req\." libs/ apps/
rg -n "child_process|exec\(|execSync\(|spawn\(.*(req|body|query)" libs/ apps/

• Upload com fileFilter validando mimetype e magic bytes (file-type lib)
• Armazenar fora da webroot ou em S3 com Content-Disposition: attachment
• Nunca executar comando shell com input do usuário; se precisar, usar execFile com array de args

---

Race Conditions / TOCTOU

Cenário clássico: saldo, cupons, estoque.

// ❌ vulnerável
const user = await repo.findOne(id);
if (user.balance >= amount) {
  user.balance -= amount;
  await repo.save(user);
}

// ✅ atômico
await repo.decrement({ id, balance: MoreThanOrEqual(amount) }, 'balance', amount);
// ou transação com SELECT ... FOR UPDATE / versão otimista

Procurar:

rg -n "findOne.*\n.*save\(" libs/ apps/ -U
rg -n "@VersionColumn|optimistic|pessimistic" libs/ apps/

---

Logging & Observabilidade

• Logs não contêm senha, token, cartão, CPF em claro
• LoggingInterceptor mascara Authorization, Cookie, password
• Logs estruturados (JSON) para ir ao SIEM
• Audit log de ações privilegiadas (mudança de role, exclusão, export de dados)

rg -n "console\.log\(.*password|console\.log\(.*token" libs/ apps/

---

Headers & Hardening Produção

• Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
• Content-Security-Policy mesmo em API (protege endpoints HTML de docs)
• X-Content-Type-Options: nosniff
• X-Frame-Options: DENY
• Referrer-Policy: no-referrer

---

Output Snippet

### 🛡️ Backend (NestJS) — N findings

| ID | Sev | OWASP API | CWE | File:Line | Issue |
|----|---|---|---|---|---|
| B-001 | 🔴 Critical | API1:2023 | CWE-639 | libs/user/.../user.controller.ts:42 | IDOR em GET /users/:id |
| B-002 | 🔴 Critical | API3:2023 | CWE-915 | libs/user/.../update-user.dto.ts | Mass assignment de `role` |
| B-003 | 🟠 High | API7:2023 | CWE-918 | libs/webhook/.../webhook.service.ts:18 | SSRF em axios.get(req.body.url) |

Anti-patterns a SEMPRE reportar

• DTO sem @IsXxx + ValidationPipe sem whitelist:true
• Controller de recurso sem ownership check
• jwt.verify sem algorithms fixo
• cors({ origin: '*', credentials: true }) (inconsistente, browsers ignoram mas config é bug)
• bcrypt.compare fora de função constant-time para username enumeration
• rejectUnauthorized: false em axios
• $queryRawUnsafe / string concat em SQL
• process.env.X lido sem validação (@nestjs/config com schema Joi/Zod)
• Swagger aberto em prod sem auth
• Stack trace vazando em ExceptionFilter