推荐工具
› RoboMongo
推荐书目
› 50 Tips and Tricks for MongoDB Developers
Related Blogs
› Snail in a Turtleneck
事情的经过是这样的：
上个月，在阿里云 ECS 服务器上搭建了一个小系统，技术栈使用： Angular + Express + Mongodb;
mongodb 数据库是创建在 ECS 服务器上的；
前几天收到阿里云的一个邮件，是这样的：
http://ww3.sinaimg.cn/mw1024/aede01c6jw1fbic04sgy6j21aa0qa0zm.jpg
关于数据库的端口，我是用的默认的 27017 ，没有做修改，数据库用户 admin 也只是做了简单设置。
发现这个问题后，我做了一些措施：修改数据库端口，绑定 IP ，修改用户等。
有两个疑问：
 |
1
changwei Jan 7, 2017 via Android
是不是没有加密码？没有加的话，黑客用那种批量扫描器随随便便就能扫到
|
 |
2
DDMCloud Jan 7, 2017
- -数据库没加密码 默认是无需密码的。。。
|
 |
3
xiaoz Jan 7, 2017 via iPhone
前几天我和楼主收到了同样的漏洞提醒，然后我赶紧把 27017 的公网端口关了，只留了内网放行。
|
 |
6
PaleCheung Jan 7, 2017
mongodb 默认是监听 127.0.0.1 的. 未授权访问是相对安全的.除非对方拿到 shell 权限.
收到邮件可能是你机器上装了 安骑士吧. 要不就是开了 外部访问,被阿里扫到了. |
 |
7
corona OP |
 |
8
whx20202 Jan 7, 2017
我看微博上 左耳朵耗子 说最近 MongoDB 被黑了好多，可能阿里搞了波专项吧
也可以能是安骑士 |
 |
10
roychan Jan 7, 2017
1. Listen 0.0.0.0
2. 没有启动 auth 我一直很好奇不做访问控制直接暴露在公网上的数据库都是用来干嘛的。 |
 |
11
billlee Jan 7, 2017
如果你自己搞不明白或者懒，那么用发行版提供的包，至少默认配置是安全的
非要自己手动安装又不会配置就是作死 |
 |
12
BOYPT Jan 7, 2017
因为很多中文的教程教他们自己编译, 然后监听 0.0.0.0, 之前的 redis 也是同理.
|
 |
13
zbinlin Jan 7, 2017
|
 |
14
golmic Jan 7, 2017 via Android
我的也被黑了～
|
 |
15
SP00F Jan 7, 2017
没密码默认的不被 delete 掉才怪……
|
 |
16
q397064399 Jan 8, 2017
阿里云，我 记得我买来的 vps 一直都是裸着的，端口全暴露在外面
还有我记得我刚买的那天晚上，同一公网段的 vps 兄弟 暴力了我的 22 整整一晚， 因为当时阿里云搞活动送 6 个月体验 一般国外绝大部分云厂商，默认不转发端口，公网是公网 内网是内网， 你要配置转发才行 |
 |
17
realpg PRO @roychan
ubuntu server 的 apt ， mysql ， redis ， mongodb 什么的安装好就是默认 127.0.0.1 的 你要有外网需求再去改 redhat 系的从来都是 0.0.0.0 的，但是很多人并不知道 |
 |
21
zoues Jan 8, 2017 via iPhone
原来 mg 不就是 0.0.0.0 访问吗
|
 |
22
skywayman Jan 8, 2017
裸奔时痛骂别人看光了就是耍流氓....
|
 |
23
type Jan 9, 2017
mongodb 对公网开放了端口
|
 |
24
domty Jan 9, 2017
https://www.bleepingcomputer.com/news/security/number-of-hijacked-mongodb-databases-is-going-up-as-more-hackers-are-flocking-in/
不是个例，简单说就是因为某些漏洞，用户的 mongodb 被攻击了，然后所有数据都被删除，接着收到勒索邮件要救支付一定数量的比特币赎回备份数据。 |
 |
26
cobola Mar 28, 2017
默认只允许本机访问吧
|
Select Language