🌅 ⁉️ 👼🏻 हैलो मोंगोबीडी (ओपन रिमोट एक्सेस) 👩🏼‍🔧 ❤️ 👨‍🎤

शुभ दिन।

मैं एक हैबर के लिए खोज के माध्यम से गया था, लेकिन इस तरह की समस्या के बारे में एक पोस्ट नहीं मिला, हालांकि समर्पित विचारों की टिप्पणियां कई बार सामने आईं।

हमारे पास कई VPS'ok हैं जहां हम MongoDB का उपयोग करते हैं, ओएस आमतौर पर डेबियन 6 / ubuntu है, हम पैकेज से लगभग सब कुछ डालते हैं, सभी का लाभ पर्याप्त है। दूसरे दिन, पुराने सर्वरों की जाँच, मैंने पाया

बेशक, यह मेरे लिए एक झटका था! दूरस्थ पहुँच प्राप्त करने का प्रयास सफल रहा

मैं /etc/mongodb.conf में चढ़ गया, यह सोचकर कि मेरा एक सहकर्मी खुद के लिए पहुंच खोल सकता है, लेकिन इसके बारे में एक शब्द भी नहीं था। उम्मीद है कि एक ही सहयोगी ने बस एक समान प्रविष्टि को हटा दिया, स्थानीय मशीन (डिबियन 6) पर कॉन्फ़िगरेशन में चढ़ गया और रिमोट एक्सेस के बारे में भी कुछ नहीं पाया। मैं MongoDB के साथ सभी ज्ञात साइटों के माध्यम से भाग गया और हर जगह मैं लॉग इन करने में सक्षम था।

तुरंत समस्या का पता लगाना शुरू किया और अंत में बंद पाया। वेबसाइट net.bindIp

net.bindIp

प्रकार: स्ट्रिंग

डिफ़ॉल्ट: सभी इंटरफ़ेस। ... संस्करण: 2.6.0 डिब और आरपीएम पैकेज में एक डिफ़ॉल्ट कॉन्फ़िगरेशन फ़ाइल शामिल होती है जो {{भूमिका}} को 127.0.0.1 पर सेट करती है।

IP पते को निर्दिष्ट करता है जो अनुप्रयोगों से कनेक्शन के लिए सुनने के लिए मोंगोस या मोंगॉड बांधता है। आप किसी भी इंटरफ़ेस के लिए मोंगोस या मोंगॉड संलग्न कर सकते हैं। सार्वजनिक रूप से सुलभ इंटरफ़ेस में मोंगोस या मोंगॉड संलग्न करते समय, सुनिश्चित करें कि आपने अपने डेटाबेस की अखंडता की रक्षा के लिए उचित प्रमाणीकरण और फ़ायरवॉल प्रतिबंधों को लागू किया है।

कई IP पतों पर बंधने के लिए, अल्पविराम से अलग किए गए मानों की सूची दर्ज करें।

मैं सभी सर्वरों के माध्यम से गया, /etc/mongodb.conf को लाइन जोड़ी

bind_ip = 127.0.0.1

अतिभारित mongoDB

 /etc/init.d/mongodb restart

फिर रिमोट एक्सेस को बंद कर दिया गया

डीब्रीफिंग

मैंने यह पता लगाने का फैसला किया कि यह कैसे हुआ, निश्चित रूप से मैंने तुरंत mysql को याद किया, जो डिफ़ॉल्ट रूप से रिमोट एक्सेस बंद है, और निश्चित रूप से मेरे सहित कई लोगों के लिए, यह सोचना उचित था कि MongoDB ने यहां कोई विशेष अनुग्रह का आविष्कार नहीं किया। मैंने स्क्रैच से डेबियन 7.4.0 (अंतिम स्थिर एक) को उठाया, और पैकेज से MongoDB डाला, मैंने पहले से ही इसे विन्यास में पाया

 bind_ip = 127.0.0.1

मैं स्मृति से याद करता हूं कि ऑफ साइट पर एक लेख के अनुसार मोंगोडीबी रिपॉजिटरी से क्या स्थापित किया गया था डेबिन पर मोंगोबीडी को स्थापित करें , क्योंकि हॉस्टलर्स ने केवल डेबियन 6 पर आधारित वीपीएस को मोंगबीडीबी के बहुत पुराने संस्करण के साथ दिया था। कॉन्फ़िगरेशन में उनके भंडार से स्थापित करने के बाद, फिर से, मुझे रिमोट एक्सेस के बारे में कुछ भी नहीं मिला। लेख खुद भी इस बारे में कुछ नहीं लिखता है, जो बहुत निराशाजनक था।

पड़ोसी की जाँच

दो बार सोचने के बिना, मैंने आईपी पते से पड़ोसियों की जांच करने का फैसला किया।

एक त्वरित PHP स्क्रिप्ट स्केच की गई

 <?php set_time_limit(600); $ipSt = '*.*.*.'; // 11.22.33. for($a = 0, $b = 255; $a <= $b; $a++) { $ip = $ipSt . $a; echo $ip.': '; ob_start(); $fp = fsockopen($ip, 27017, $errno, $errstr, 0.1); ob_get_contents(); ob_clean(); if (!$fp) { echo '---'; } else { echo 'OK'; fclose($fp); } echo '<br />'; }

जिस बात पर मुझे MongoDB ओपन डेटाबेस की एक बहुत ही अच्छी सूची मिली थी, कुछ निश्चित रूप से प्राधिकरण पर थे, कुछ बैकअप के लिए, लेकिन अभी भी खुले हैं।

हैकिंग?

तो आप इस एक्सेस का क्या कर सकते हैं? मैंने अपने प्रोजेक्ट पर परीक्षण शुरू किया, कम से कम:

ई-मेल पते वाले उपयोगकर्ताओं की एक सूची मिली
मैं लेखों को संपादित कर सकता था - पाठ को बदल सकता था, चित्र और js-script डाल सकता था
mongofiles के माध्यम से मैं डेटाबेस में फ़ाइलें अपलोड करने में सक्षम था, लेकिन मेरे पास कठिन दिमाग को बचाने के लिए पर्याप्त नहीं था

परिणाम

बेशक, कोई कहता है कि यह सब गति के लिए है, कि सिस्टम प्रशासक, डिफ़ॉल्ट रूप से, सब कुछ खुद पर नजर रखना चाहिए। लेकिन केवल वीपीएस बहुत सुलभ हैं, बहुत सारे लेख हैं जहां वे नए डेटाबेस और अन्य सॉफ़्टवेयर की प्रशंसा करते हैं, जो कई सरल प्रोग्रामर बहुत प्रशासनिक अनुभव के बिना वीपीएस के साथ काम करने के लिए सहमत होते हैं। MongoDB के डेवलपर्स से, मैंने कम से कम कॉन्फ़िगरेशन में एक टिप्पणी ज्ञापन की उम्मीद की, क्योंकि वे डिफ़ॉल्ट रूप से पहुंच को बंद नहीं करना चाहते हैं

 # bind_ip = 127.0.0.1

इसी तरह के लेख, लेकिन पहले से ही memcached पर: जैसा कि मैंने phpclub.ru पर एक भेद्यता पाई थी , Runet पर सभी साइटों के 1% ने दुनिया के लिए अपने मेमकेच को खुला रखा। कुछ आंकड़े

हैलो मोंगोबीडी (ओपन रिमोट एक्सेस)

डीब्रीफिंग

पड़ोसी की जाँच

हैकिंग?

परिणाम

More articles: