搜索

[18058] 2021-08-26_MongoDB未授权访问漏洞复现和防御手段

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2021-08-26_MongoDB未授权访问漏洞复现和防御手段 M o n g o D B   未 授 权 访 问 漏 洞 复 现 和 防 御 手 段 H a c k i n g 黑 白 红   2 0 2 1 - 0 8 - 2 6 收 录 于 话 题 # M o n g o D B 漏 洞   , 1 # 网 路 安 全   , 1 # 渗 透 测 试   , 4 1 漏 洞 简 介 漏 洞 简 介 开 启 M o n g o D B 服 务 时 不 添 加 任 何 参 数 时 , 默 认 是 没 有 权 限 验 证 的 , 登 录 的 用 户 可 以 通 过 默 认 端 口 无 需 密 码 对 数 据 库 任 意 操 作 （ 增 、 删 、 改 、 查 高 危 动 作 ） 而 且 可 以 远 程 访 问 数 据 库 。     造 成 未 授 权 访 问 的 根 本 原 因 就 在 于 启 动   M o n g o d b   的 时 候 未 设 置   - - a u t h   也 很 少 会 有 人 会 给 数 据 库 添 加 上 账 号 密 码 （ 默 认 空 口 令 ） ， 使 用 默 认 空 口 令 这 将 导 致 恶 意 攻 击 者 无 需 进 行 账 号 认 证 就 可 以 登 陆 到 数 据 服 务 器 。 2 漏 洞 复 现 漏 洞 复 现 环 境 介 绍 环 境 介 绍 目 标 靶 机 :   K a l i   i p 地 址 :   1 9 2 . 1 6 8 . 1 8 . 1 2 8   连 接 工 具 : X s h e l l 环 境 搭 建 环 境 搭 建   这 里 使 用 d o c k e r   （ h t t p s : / / w w w . r u n o o b . c o m / d o c k e r / d o c k e r - t u t o r i a l . h t m l   可 自 行 G o o g l e ） d o c k e r   s e a r c h   m o n g o d b     #   从 D o c k e r   H u b 查 找 镜 像
普 通 检 测 普 通 检 测   这 里 使 用   N o S Q L B o o s t e r   下 载 地 址 ： h t t p s : / / n o s q l b o o s t e r . c o m / d o w n l o a d s d o c k e r   p u l l   m o n g o     # 从 镜 像 仓 库 中 拉 取 或 者 更 新 指 定 镜 像 d o c k e r   i m a g e s   m o n g o   # 列 出 本 地 主 机 上 的 m o n g o 镜 像 d o c k e r   r u n   - d   - p   2 7 0 1 7 : 2 7 0 1 7   - - n a m e   m o n g o d b   m o n g o   #   创 建 一 个 新 的 容 器 并 运 行 一 个 命 令 d o c k e r   p s   - a   #   显 示 所 有 的 容 器 ， 包 括 未 运 行 的

n m a p 检 测 3 防 御 手 段 防 御 手 段   1 、 修 改 默 认 端 口 修 改 默 认 的 m o n g o D B 端 口 ( 默 认 为 :   T C P   2 7 0 1 7 ) 为 其 他 端 口 2 、 不 要 开 放 服 务 到 公 网 3 、 禁 用 H T T P 和 R E S T 端 口 4 、 为 M o n g o D B 添 加 认 证 M o n g o D B 启 动 时 添 加 - - a u t h 参 数 、 为 M o n g o D B 添 加 用 户 参 考 来 源 ： h t t p s : / / b l o g . c s d n . n e t / F l y _ h p s / a r t i c l e / d e t a i l s / 1 1 7 6 7 6 0 3 2 h t t p s : / / b l o g . c s d n . n e t / s y y 0 2 0 1 / a r t i c l e / d e t a i l s / 1 0 3 5 7 7 4 3 8 声 明 ： 文 中 技 术 主 要 用 于 学 习 研 究 ， 侵 权 必 须 删 。 推 荐 阅 读 ： 推 荐 阅 读 ： n m a p   - p   2 7 0 1 7   - - s c r i p t   m o n g o d b - i n f o   < t a r g e t >   地 址 : h t t p : / / n m a p . o r g / s v n / s c r i p t s / m o n g o d b - i n f o . n s e v i m   / e t c / m o n g o d b . c o n f b i n d _ i p   =   1 2 7 . 0 . 0 . 1
渗 透 实 战 系 列 渗 透 实 战 系 列 ▶ 【 渗 透 实 战 系 列 】 2 7 | - 对 钓 鱼 诈 骗 网 站 的 渗 透 测 试 （ 成 功 获 取 管 理 员 真 实 I P ） ▶ 【 渗 透 实 战 系 列 】 2 6 | 一 记 某 c m s 审 计 过 程 ( 步 骤 详 细 ) ▶ 【 渗 透 实 战 系 列 】 2 5 | 一 次 从   A P P   逆 向 到   G e t s h e l l   的 过 程 ▶ 【 渗 透 实 战 系 列 】 2 4 | - 针 对 C M S 的 S Q L 注 入 漏 洞 的 代 码 审 计 思 路 和 方 法 ▶ 【 渗 透 实 战 系 列 】 2 3 | - 某 菠 菜 网 站 渗 透 实 战 ▶ 【 渗 透 实 战 系 列 】 2 2 | - 渗 透 系 列 之 打 击 彩 票 站 ▶ 【 渗 透 实 战 系 列 】 2 1 | 一 次 理 财 杀 猪 盘 渗 透 测 试 案 例 ▶ 【 渗 透 实 战 系 列 】 2 0 | - 渗 透 直 播 网 站 ▶ 【 渗 透 实 战 系 列 】 1 9 | - 杀 猪 盘 渗 透 测 试 ▶ 【 渗 透 实 战 系 列 】 1 8 - 手 动 拿 学 校 站 点   得 到 上 万 人 的 信 息 （ 漏 洞 已 提 交 ） ▶ 【 渗 透 实 战 系 列 】 | 1 7 - 巧 用 f o f a 对 目 标 网 站 进 行 g e t s h e l l ▶ 【 渗 透 实 战 系 列 】 ｜ 1 6 - 裸 聊 A P P 渗 透 测 试 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 5 - 博 彩 网 站 （ A P P ） 渗 透 的 常 见 切 入 点 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 4 - 对 诈 骗 （ 杀 猪 盘 ） 网 站 的 渗 透 测 试 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 3 - w a f 绕 过 拿 下 赌 博 网 站 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 2   - 渗 透 实 战 ，   被 骗 4 0 0 0 花 呗 背 后 的 骗 局 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 1   -   赌 博 站 人 人 得 而 诛 之 ▶ 【 渗 透 实 战 系 列 】 | 1 0   -   记 某 色 X 商 城 支 付 逻 辑 漏 洞 的 白 嫖 （ 修 改 价 格 提 交 订 单 ） ▶ 【 渗 透 实 战 系 列 】 | 9 - 对 境 外 网 站 开 展 的 一 次 w e b 渗 透 实 战 测 试 （ 非 常 详 细 ， 适 合 打 战 练 手 ） ▶ 【 渗 透 实 战 系 列 】 | 8 - 记 一 次 渗 透 测 试 从 X S S 到 G e t s h e l l 过 程 （ 详 细 到 无 语 ） ▶ 【 渗 透 实 战 系 列 】 | 7 - 记 一 次 理 财 杀 猪 盘 渗 透 测 试 案 例 ▶ 【 渗 透 实 战 系 列 】 | 6 -   B C 杀 猪 盘 渗 透 一 条 龙 ( 文 末 附 【 渗 透 实 战 系 列 】 其 他 文 章 链 接 ) ▶ 【 渗 透 实 战 系 列 】 | 5 - 记 一 次 内 衣 网 站 渗 透 测 试 ▶ 【 渗 透 实 战 系 列 】 | 4 - 看 我 如 何 拿 下 B C 站 的 服 务 器 ▶ 【 渗 透 实 战 系 列 】 | 3 - 一 次 简 单 的 渗 透 ▶ 【 渗 透 实 战 系 列 】 | 2 - 记 一 次 后 门 爆 破 到 提 权 实 战 案 例 ▶ 【 渗 透 实 战 系 列 】 | 1 一 次 对 跨 境 赌 博 类 A P P 的 渗 透 实 战 （ g e t s h e l l 并 获 得 全 部 数 据 ）
长 按 长 按 - 识 别 识 别 - 关 注 关 注 H a c k i n g 黑 白 红 黑 白 红 一 个 专 注 信 息 安 全 技 术 的 学 习 平 台 点 分 享 点 分 享 点 收 藏 点 收 藏 点 点 赞 点 点 赞 点 在 看 点 在 看
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理