设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [10922] 2017-01-13_一场屠戮MongoDB的盛宴反思超33000 ...
返回列表 发新帖
查看: 2|回复: 0

[10922] 2017-01-13_一场屠戮MongoDB的盛宴反思超33000个数据库遭遇入侵勒索

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2017-01-13_一场屠戮MongoDB的盛宴反思超33000个数据库遭遇入侵勒索 一 场 屠 戮 M o n g o D B 的 盛 宴 反 思   |   超 3 3 0 0 0 个 数 据 库 遭 遇 入 侵 勒 索 c x t   F r e e B u f   2 0 1 7 - 0 1 - 1 3 许 多 人 没 有 想 到 ， 去 年 许 多 人 没 有 想 到 ， 去 年 1 2 月 一 件 不 起 眼 的 小 事 ， 在 新 年 伊 始 却 演 变 成 了 一 场 屠 杀 。 如 今 ， 受 害 的 一 方 似 乎 正 由 于 自 身 的 疏 月 一 件 不 起 眼 的 小 事 ， 在 新 年 伊 始 却 演 变 成 了 一 场 屠 杀 。 如 今 ， 受 害 的 一 方 似 乎 正 由 于 自 身 的 疏 忽 和 迟 钝 而 显 得 愈 发 无 力 反 抗 ， 一 个 接 一 个 倒 下 。 忽 和 迟 钝 而 显 得 愈 发 无 力 反 抗 ， 一 个 接 一 个 倒 下 。 截 止 本 周 三 （ 1 月 1 1 日 ） ， 已 经 有 2 0 名 以 上 的 黑 客 加 入 到 这 场 对 M o n g o D B 用 户 一 边 倒 的 碾 压 中 来 ， 遭 到 入 侵 、 勒 索 的 数 据 库 超 过 了 3 3 ， 0 0 0 个 ， 并 且 这 一 数 字 还 在 不 断 上 升 中 。 （ 源 自 凯 捷 咨 询 的 N i a l l   M e r r i g a n 提 供 的 数 据 ） M o n g o D B 是 目 前 包 括 e B a y ， 纽 约 时 报 ， L i n k e d I n 在 内 的 全 世 界 多 家 公 司 广 泛 采 用 的 数 据 库 。 源 于 源 于 0 . 2 比 特 币 的 勒 索 比 特 币 的 勒 索 去 年 1 2 月 2 7 日 ， 安 全 专 家 兼 G D I   F o u n d a t i o n 联 合 创 始 人 V i c t o r   G e v e r s （ @ 0 x D U D E ） 在 T w i t t e r 上 称 由 于 存 在 配 置 漏 洞 ， 可 不 通 过 任 何 认 证 直 接 访 问 某 些 M o n g o D B 数 据 库 ， 而 黑 客 早 已 盯 上 了 这 些 目 标 。 当 时 ， 第 一 波 被 黑 的 M o n g o D B 数 据 库 中 ， G e v e r s 观 察 到 数 据 内 容 被 清 空 ， 黑 客 还 留 下 了 一 条 “ W A R N I N G ” 信 息 ：
“ S E N D   0 . 2   B T C   T O   T H I S   A D D R E S S   1 3 z a x G V j j 9 M N c 2 j y v D R h L y Y p k C h 3 2 3 M s M q   A N D   C O N T A C T   T H I S   E M A I L   W I T H   Y O U R   I P   O F   Y O U R   S E R V E R   T O   R E C O V E R   Y O U R   D A T A B A S E   ! ” 意 思 就 是 ： 要 求 支 付 0 . 2 比 特 币 到 指 定 地 址 用 以 还 原 数 据 。 署 名 “ H a r a k 1 r 1 ” 的 黑 客 （ 或 组 织 ） 大 肆 入 侵 了 M o n g o D B 数 据 库 ， 清 空 里 面 的 内 容 并 向 拥 有 者 索 要 0 . 2 比 特 币 （ 约 $ 2 1 1 ） 的 赎 金 ， 否 则 数 据 将 不 予 归 还 。 G e v e r s 发 现 了 这 次 攻 击 并 随 即 在 T w i t t e r 上 警 告 了 M o n g o D B 数 据 库 用 户 。 遗 憾 的 是 ， 这 份 警 告 并 没 有 引 起 M o n g o D B 使 用 者 足 够 的 重 视 。 而 嗅 觉 敏 锐 的 黑 客 们 却 迅 速 地 围 了 上 来 ， 盛 宴 开 始 。 M o n g o D B 屠 戮 全 面 开 启 屠 戮 全 面 开 启 当 时 G e v e r s 暂 时 只 统 计 到 了 有 近 2 0 0 个 M o n g o D B 数 据 库 实 例 （ i n s t a n c e ） 被 黑 客 入 侵 当 做 勒 索 筹 码 。 F r e e B u f 安 全 快 讯 对 此 进 行 了 追 踪 报 道 ， 在 1 月 3 日 ， 这 个 数 字 达 到 了 2 ， 0 0 0 以 上 。 接 下 来 的 日 子 里 ， 攻 击 规 模 不 断 扩 大 ， 受 害 者 数 量 急 剧 上 升 。 仅 在 仅 在 1 月 月 9 日 早 间 开 始 的 日 早 间 开 始 的 1 2 小 时 内 ， 受 到 黑 客 勒 索 的 数 据 库 就 从 小 时 内 ， 受 到 黑 客 勒 索 的 数 据 库 就 从 1 2 ， ， 0 0 0 个 翻 倍 达 到 了 个 翻 倍 达 到 了 2 7 ， ， 6 3 3 之 多 。 之 多 。 参 与 其 中 的 黑 客 数 量 也 增 加 到 至 少 1 5 人 以 上 ， 其 中 一 位 名 为 “ k r a k e n 0 ” 的 黑 客 已 经 入 侵 了 1 5 ， 4 8 2 个 M o n g o D B 数 据 库 并 向 每 位 受 害 者 索 取 了 1 比 特 币 （ 约 $ 9 2 1 ） 赎 金 。 尽 管 安 全 专 家 已 经 告 诫 众 多 M o n g o D B 数 据 库 用 户 不 要 向 黑 客 支 付 赎 金 （ 很 多 黑 客 并 不 会 如 宣 称 的 那 样 保 留 了 数 据 ， 多 数 情 况 是 直 接 删 掉 了 ） ， 但 已 知 仍 有 至 少 2 2 个 受 害 机 构 或 个 人 缴 纳 了 赎 金 。 之 所 以 会 有 如 此 众 多 的 数 据 库 实 例 被 这 次 冲 击 迅 速 收 割 ， 主 要 是 因 为 很 多 使 用 者 没 有 遵 照 生 产 环 境 部 署 手 册 ， 缺 少 安 全 认 证 ， 直 接 将 服 务 器 暴 露 在 公 网 里 以 及 版 本 过 于 老 旧 。 对 于 攻 击 者 而 言 ， 使 用 在 线 工 具 就 可 以 较 轻 松 地 发 现 存 在 问 题 的 数 据 库 。 事 实 上 ， 黑 客 还 发 掘 到 了 另 一 个 商 机 ： 他 们 有 人 开 始 贩 卖 用 来 攻 陷 数 据 库 的 软 件 赚 钱 。 这 种 工 具 被 称 作 事 实 上 ， 黑 客 还 发 掘 到 了 另 一 个 商 机 ： 他 们 有 人 开 始 贩 卖 用 来 攻 陷 数 据 库 的 软 件 赚 钱 。 这 种 工 具 被 称 作 “ K r a k e n   M o n g o d b   r a n s o m w a r e ” ， 只 要 价 值 ， 只 要 价 值 $ 2 0 0 的 比 特 币 就 可 以 买 到 该 程 序 的 的 比 特 币 就 可 以 买 到 该 程 序 的 C # 源 码 。 源 码 。 产 生 如 此 后 果 的 另 一 个 重 要 原 因 是 部 分 使 用 者 安 全 意 识 淡 薄 ， 反 应 迟 钝 。 作 为 最 初 发 现 者 的 G e v e r s 就 曾 对 S e c u r i t y W e e k 这 样 吐 槽 ： “ 永 远 不 要 低 估 某 些 公 司 的 反 应 有 多 么 愚 蠢 ， 有 些 只 是 移 除 了 勒 索 信 息 ， 还 原 了 数 据 ， 却 依 旧 让 服 务 器 门 户 大 开 。 ” G e v e r s 有 所 怨 言 是 不 无 道 理 的 。 作 为 安 全 专 家 ， 他 长 时 间 致 力 于 数 据 库 漏 洞 探 测 并 会 向 企 业 提 供 风 险 报 告 。 然 而 ， 他 的 预 警 却 被 许 多 公 司 视 而 不 见 ， 仅 在 去 年 一 年 就 有 1 3 8 份 相 关 报 告 石 沉 大 海 。 即 使 他 对 这 波 攻 击 迅 速 做 出 了 告 警 ， 却 依 然 收 效 甚 微 。
安 全 组 织 “ S h a d o w S e r v e r ” 通 过 A I S I （ A u s t r a l i a n   I n t e r n e t   S e c u r i t y   I n i t i a t i v e ） 每 天 约 提 供 4 0 0 个 M o n g o D B 数 据 泄 漏 预 警 ， 服 务 澳 洲 9 0 % 的 网 络 提 供 商 暗 潮 涌 动 暗 潮 涌 动 轻 视 安 全 问 题 是 要 付 出 代 价 的 。 事 实 上 M o n g o D B 数 据 库 泄 漏 问 题 早 在 2 0 1 5 年 就 被 报 导 过 。 当 时 S h o d a n （ 搜 索 引 擎 ） 的 负 责 人 J o h n   M a t h e r l y 统 计 到 有 3 0 ， 0 0 0 个 以 上 的 M o n g o D B 数 据 库 实 例 ， 近 6 0 0 T B 的 数 据 暴 露 于 公 网 之 上 ， 无 需 任 何 认 证 就 可 访 问 。 很 多 版 本 滞 后 的 数 据 库 配 置 文 件 里 没 有 做 I P 捆 绑 （ b i n d _ i p   1 2 7 . 0 . 0 . 1 ） ， 在 用 户 不 甚 了 解 的 时 候 留 下 了 安 全 隐 患 。 虽 然 M o n g o D B 的 开 发 团 队 在 下 一 个 版 本 里 修 复 了 这 个 问 题 ， 但 截 止 事 发 ， 仍 然 有 数 量 众 多 的 数 据 库 管 理 者 没 来 得 及 更 新 。 这 次 勒 索 事 件 的 一 个 显 著 后 果 就 是 世 界 范 围 内 存 储 在 这 次 勒 索 事 件 的 一 个 显 著 后 果 就 是 世 界 范 围 内 存 储 在 M o n g o D B 数 据 库 里 数 据 量 的 大 幅 下 滑 。 数 据 库 里 数 据 量 的 大 幅 下 滑 。 据 M e r r i g a n 提 供 的 信 息 显 示 ， 在 短 短 3 天 内 就 有 1 1 4 . 5 T B 的 数 据 因 此 消 失 。 据 估 计 ， 目 前 网 上 约 有 5 0 ， 0 0 0 个 开 放 访 问 的 M o n g o D B 数 据 库 ， 也 许 用 不 了 多 久 所 有 没 做 好 安 全 措 施 的 数 据 库 都 会 被 黑 客 攻 陷 。 这 个 过 程 需 要 多 久 ？ 据 G e v e r s 估 算 ， 这 个 过 程 可 能 用 不 了 几 周 。 毫 无 疑 问 ， 黑 客 们 的 疯 狂 给 人 们 敲 响 了 警 钟 。 现 在 应 该 会 有 很 多 人 后 悔 了 。
现 在 补 救 还 来 得 及 现 在 补 救 还 来 得 及 G e v e r s 确 认 ， 目 前 已 有 来 自 包 括 I P ， 医 疗 ， 金 融 服 务 ， 旅 游 等 行 业 在 内 的 多 家 公 司 就 此 次 攻 击 事 件 求 助 ， 但 他 不 愿 意 透 露 求 助 企 业 的 名 称 。 他 建 议 ： 有 时 一 个 数 据 库 会 被 不 同 的 黑 客 攻 击 多 次 ， 受 害 者 很 有 可 能 把 赎 金 给 错 了 人 ， 这 更 是 一 个 无 底 洞 。 因 此 不 仅 不 要 支 付 赎 金 ， 更 要 想 办 法 让 攻 击 者 证 明 丢 失 的 数 据 是 否 还 真 实 存 在 。 G e v e r s 表 示 ， 如 果 有 适 当 的 网 络 监 控 程 序 ， 可 以 判 断 丢 失 的 数 据 是 被 转 移 了 还 是 被 直 接 删 掉 了 。 不 过 这 样 做 需 要 把 出 站 的 数 据 流 量 同 系 统 日 志 里 的 访 问 记 录 做 多 方 面 比 较 才 行 。 M o n g o D B 官 方 建 议 如 下 ： 如 何 知 道 自 己 有 没 有 受 到 攻 击 ： 1 .   如 果 已 经 为 数 据 库 正 确 配 置 了 访 问 控 制 ， 攻 击 者 应 该 访 问 不 到 数 据 ， 可 参 考 安 全 手 册 （ h t t p s : / / d o c s . m o n g o d b . c o m / m a n u a l / s e c u r i t y / ） 2 .   验 证 数 据 库 和 集 合 。 在 最 近 的 案 例 中 ， 攻 击 者 丢 弃 了 数 据 库 和 / 或 集 合 ， 并 用 一 个 r a n s o m 需 求 的 新 的 替 换 它 们 。 3 .   如 果 启 用 访 问 控 制 ， 请 审 核 系 统 日 志 以 进 行 未 经 授 权 的 访 问 尝 试 或 可 疑 活 动 。 如 果 已 经 受 到 攻 击 ： 1 .   如 果 您 是 M o n g o D B 企 业 支 持 客 户 ， 请 尽 快 提 交 P 1 订 单 ， 我 们 的 技 术 服 务 工 程 师 可 以 指 导 您 完 成 以 下 过 程 。 2 .   您 的 首 要 任 务 是 保 护 您 的 集 群 以 防 止 进 一 步 的 未 授 权 访 问 。 您 可 以 参 照 我 们 的 安 全 实 践 文 档 。 3 .   通 过 运 行   u s e r s I n f o   来 检 查 是 否 有 添 加 ， 删 除 或 修 改 的 用 户 。 4 .   检 查 日 志 以 查 找 攻 击 的 时 间 。 检 查 是 否 有 删 库 或 者 删 表 ， 修 改 用 户 或 创 建 赎 金 记 录 的 命 令 。 5 .   如 果 你 有 定 期 对 受 损 数 据 库 进 行 备 份 ， 则 可 以 还 原 最 近 的 备 份 。 您 需 要 评 估 最 近 的 备 份 和 攻 击 时 间 之 间 可 能 已 更 改 的 数 据 量 。 如 果 您 使 用 O p s   M a n a g e r 或 C l o u d   M a n a g e r 进 行 备 份 ， 则 可 以 恢 复 到 攻 击 之 前 的 时 间 点 。 6 .   如 果 您 没 有 备 份 或 以 其 他 方 式 无 法 还 原 数 据 ， 那 么 您 的 数 据 可 能 会 永 久 丢 失 。 7 .   您 应 该 假 设 攻 击 者 已 经 复 制 了 受 影 响 的 数 据 库 的 所 有 数 据 。 请 按 照 内 部 安 全 流 程 对 数 据 泄 露 事 件 进 行 恰 当 处 理 。 8 .   最 后 ， 请 参 阅 我 们 的 安 全 最 佳 做 法 和 资 源 ， 以 便 将 来 保 护 您 的 数 据 。
如 何 防 范 此 类 攻 击 ？ 1 .   做 好 访 问 认 证 。 打 开 你 的 M o n g o D B 配 置 文 件 （ . c o n f ） ， 设 置 为 a u t h = t r u e 2 .   做 好 防 火 墙 设 置 。 建 议 管 理 者 关 闭 2 7 0 1 7 端 口 的 访 问 。 3 .   B i n d _ i p ， 绑 定 内 网 I P 访 问 。 4 .   做 好 升 级 。 请 管 理 者 务 必 将 软 件 升 级 到 最 新 版 本 。 *   参 考 来 源 ： S e c u r i t y W e e k ,   F B 小 编 c x t 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:32 , Processed in 0.331820 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表