压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

知名設(shè)備安全搜索引擎Shodan的創(chuàng)始人John Matherly表示，全網(wǎng)MongoDB數(shù)據(jù)庫泄露數(shù)據(jù)量高達595.2TB。其中原因多是為MongoDB版本過于老舊或是隨意放在公網(wǎng)沒有經(jīng)過身份驗證。
風(fēng)險描述

MongoDB是一個不錯的開源SQL數(shù)據(jù)庫，許多公司如“紐約時報”、“易趣”、“Foursquare”，都采用了這種數(shù)據(jù)庫。當(dāng)然，在中國的使用案例也很多，這點大家從安全漏洞報告平臺的海量上報中就能看出。

MongoDB的最新版本是3.0.4，而直到2.4.14版本的MongoDB還默認監(jiān)聽的是0.0.0.0的地址，也就是說接受來自公網(wǎng)的直接訪問。

自2012年Roman Shtylman提出這個漏洞以來，到現(xiàn)在還有不少躺槍的廠商，況且后來Roman Shtylman還發(fā)現(xiàn)不少MongoDB連基本的認證都沒裝。RMongoDB漏洞版本沒有在mongodb.conf文件里配置bind_ip 127.0.0.1，這會讓服務(wù)器暴露在公網(wǎng)里，猶如沒穿衣服的少女處于虎視眈眈的大漢之中。正確的做法是盡可能把外網(wǎng)開放關(guān)掉，在管理需要的時候再開 放，甚至干脆就不開放。MongoDB2.6也可能存在問題。

大多數(shù)暴露的數(shù)據(jù)庫運行在云服務(wù)器上，如亞馬遜、數(shù)字海洋（Digital Ocean）之類的云服務(wù)商。Roman Shtylman認為這是因為云鏡像并不會經(jīng)常更新，這才導(dǎo)致了數(shù)據(jù)版本老舊，以及不安全版本軟件的部署。

大多不設(shè)防
Roman Shtylman的團隊并不是第一次留意到MongoDB的安全，在2015年二月，他們曾宣布近四萬的MongoDB實例容易受到網(wǎng)絡(luò)攻擊。在德國薩爾 州大學(xué)的三名學(xué)生，在數(shù)千WEB服務(wù)器上發(fā)現(xiàn)MongoDB數(shù)據(jù)庫運行在外網(wǎng)的TCP 27017端口，并沒有適當(dāng)?shù)姆烙胧?/p>

德國的專家小組報告說，他們不使用任何特殊的黑客工具，就可以輕易對這類MongoDB數(shù)據(jù)庫進行讀寫操作。