pengkobe / blog Goto Github PK

只有文字太单调了...

内空！

现在主要是为了个人使用，需要整理出一个大家都可使用的版本，同时有重整架构的想法！

顿时感觉身体被掏空。

阿里云前两天才发的漏洞:MongoDB数据库未授权访问漏洞及加固，本打算这个周末补补的，结果今早打开博客一看，只剩一个空壳子了，我想，这是至今为止，互联网给我上的最惨痛的一堂课了吧。

漏洞详情

危害

开启MongoDB服务时不添加任何参数时,默认是没有权限验证的,登录的用户可以通过默认端口无需密码对数据库任意操作（增删改高危动作）而且可以远程访问数据库。

漏洞成因

在刚安装完毕的时候 MongoDB 都默认有一个 admin 数据库,此时admin数据库是空的,没有记录权限相关的信息！当admin.system.users一个用户都没有时，即使 mongod 启动时添加了 —auth 参数,如果没有在 admin 数据库中添加用户,此时不进行任何认证还是可以做任何操作(不管是否是以 —auth 参数启动),直到在 admin.system.users 中添加了一个用户。加固的核心是只有在 admin.system.users 中添加用户之后， mongodb 的认证,授权服务才能生效。

修复方案

1. 修改 mongoDB 端口
2. 不要把MongoDB服务器部署在互联网上或者DMZ
3. 使用- -bind_ip选项
4. 启动基于角色的登录认证功能
5. 禁用HTTP和REST端口
6. 开启日志审计功能
7. 使用SSL加密功能

这种风格简约大气，让人一目了然，博客风格可以借鉴。

pv/err/clicks...

样式错乱