MongoDB勒索***

谁践踏了优雅 2022-01-13 00:09 225阅读 0赞

\[daodu\]\*\*\*者已经发现很多MongoDB配置存在缺陷，而这为勒索\*\*\*打开了大门。\[/daodu\]

安全研究人员兼微软开发人员Niall Merrigan一直在追踪MongoDB勒索\*\*\*事件，有一天，他突然看到\*\*\*次数从12000增加到27633。与勒索软件\*\*\*不同，其中数据被加密，在这种\*\*\*中，\*\*\*者可访问数据库、复制文件、删除所有内容并留下勒索字条——承诺在收到赎金后归还数据。  
[![9-3.jpg][]][9-3.jpg]  
MongoDB勒索\*\*\*蔓延原因：不安全配置  
“这里的问题在于，人们通常会快速设置好数据库，并开始构建应用，而没有适当的安全考虑，”Merrigan称，“在很多情况下，他们并不知道他们必须设置身份验证，而在默认情况下并没有启用。”  
独立安全研究人员Victor Gevers称，MongoDB配置中糟糕的身份验证政策是允许\*\*\*者访问数据库的主要缺陷。  
“这些错误配置允许(任何人)持有完全的管理权限来访问数据库，而无需身份验证，”Gevers称，“因此，这是数据库所有者的责任，他们没有为面向互联网的系统正确配置数据，当你启动漏洞扫描器时就能发现这些漏洞，这并不是多么困难的事情。”  
Fidelis Cybersecurity公司威胁系统经理John Bambenek称：“主要的问题是，人们在配置面向互联网的服务时，并没有真正试图保护和维护它们。”  
“在很多时候，企业开发工作的重点是快速完成，而不是确保事物在没有身份验证的情况下不被访问，”Bambenek称，“在这种情况下，很多这些MongoDB数据库是通过安装器来安装，而没有为管理员账号设置密码，这让所有人都可以访问数据库。”  
ERPScan公司高级业务应用安全研究人员Vahagn Vardanyan表示，\*\*\*者在这些\*\*\*中并没有使用任何零日漏洞。  
“在默认情况下，MongoDB安装后并不需要身份验证就可连接，”Vardanyan表示，“数据库管理员没有对其进行安全地配置，让\*\*\*者有机可乘。”  
Gevers证实MongoDB中存在已知漏洞，不过尚没有迹象表明所调查的\*\*\*中使用了任何漏洞。  
“在这种情况下，所有\*\*\*者的\*\*\*做法几乎相同。他们试图通过MongoDB复制该数据库，然后删除数据库，创建新的数据库，并留下勒索信息，最后在他们退出之前清除日志，”Gevers称，“由于日志保持不变，我们可以从\*\*\*发起的时候提取相同的\*\*\*模式和IP地址。并没有其他证据表明\*\*\*者已经通过创建管理员用户部署了持续后门程序或者shell。”  
根据Merrigan和Gevers表示，面临安全风险的MongoDB数量很难预计。通过Shodan.io，Merrigan称大约有5200台服务器可访问互联网而没有启用身份验证。而Gevers通过搜索Shodan得出的数据约为4800台，但根据ZoomEye的数据显示，可能有高达99000个糟糕的MongoDB配置。  
威胁情报平台提供商Anomali公司首席威胁研究人员Aaron Shelmire称，企业拥有糟糕的MongoDB配置太常见了。  
“每两年就会出现新的技术堆栈，该行业似乎花了很多时间来重新学习旧教训。但由于简单的安全问题而导致这么多安全事故，这真的非常令人惊讶，”Shelmire称，“对于企业来说，确保安全性的最佳方法是限制这些服务对公司×××背后主机的访问，定期备份这些数据存储可减少受影响系统的影响。  
” Merrigan称备份可帮助恢复“业务连续性”，但建议为MongoDB配置设置更好的身份验证政策。  
“应使用最低权限概念，不要尝试锁定它;查看MongoDB指南来强化系统，特别是面向互联网的系统，当连接到互联网时，应假设每个人都在试图访问你的系统。”

转载于:https://blog.51cto.com/14047707/2360738

[9-3.jpg]: /images/20220112/8a00b62d357940fba7afea2d38076f35.png