方糖的博客

安全小技巧

新的一年快到了….

剪刀石头布,哈，我又赢了

2023

05-16

漏洞介绍

默认开启 MongoDB 服务不添加任何参数时，是没有任何权限验证的，可以直接无密码连接登陆，端口 27017

漏洞利用

1
mongo  --host ip  --port 27017  直接连接数据库

漏洞加固

  • 为 MongoDB 添加认证
  • 启动时候添加 —auth参数
  • 给 MongoDB 添加用户
1
2
3
4
5
use admin #使用admin库

db.addUser("root", "123456") #添加用户名root密码123456的用户

db.auth("root","123456") #验证下是否添加成功，返回1说明成功
  • 禁用HTTP 和REST 端口
1
2
3
4
MongoDB 自身带有一个 HTTP 服务和并支持 REST 接口。
在2.6以后这些接口默认是关闭的。mongoDB 默认会使用默认端口监听web服务，
一般不需要通过 web 方式进行远程管理，建议禁用。
修改配置文件或在启动的时候选择 –nohttpinterface 参数 nohttpinterface=false
  • 限制绑定ip
1
2
3
启动时加入参数--bind_ip 127.0.0.1

或在/etc/mongodb.conf文件中添加以下内容：bind_ip = 127.0.0.1

啊，再见了，再见了，哈

我们会再见的对么

再见你要幸福

燕子，燕子