推荐工具
› RoboMongo
推荐书目
› 50 Tips and Tricks for MongoDB Developers
Related Blogs
› Snail in a Turtleneck
事情的经过是这样的：
上个月，在阿里云 ECS 服务器上搭建了一个小系统，技术栈使用： Angular + Express + Mongodb;
mongodb 数据库是创建在 ECS 服务器上的；
前几天收到阿里云的一个邮件，是这样的：
http://ww3.sinaimg.cn/mw1024/aede01c6jw1fbic04sgy6j21aa0qa0zm.jpg
关于数据库的端口，我是用的默认的 27017 ，没有做修改，数据库用户 admin 也只是做了简单设置。
发现这个问题后，我做了一些措施：修改数据库端口，绑定 IP ，修改用户等。
有两个疑问：
 |
changweiJan 7, 2017 via Android
1
是不是没有加密码？没有加的话，黑客用那种批量扫描器随随便便就能扫到
|
 |
DDMCloudJan 7, 2017
2
- -数据库没加密码 默认是无需密码的。。。
|
 |
xiaozJan 7, 2017 via iPhone
3
前几天我和楼主收到了同样的漏洞提醒，然后我赶紧把 27017 的公网端口关了，只留了内网放行。
|
 |
PaleCheungJan 7, 2017
6
mongodb 默认是监听 127.0.0.1 的. 未授权访问是相对安全的.除非对方拿到 shell 权限.
收到邮件可能是你机器上装了 安骑士吧. 要不就是开了 外部访问,被阿里扫到了. |
 |
7
|
 |
whx20202Jan 7, 2017
8
我看微博上 左耳朵耗子 说最近 MongoDB 被黑了好多，可能阿里搞了波专项吧
也可以能是安骑士 |
 |
roychanJan 7, 2017
10
1. Listen 0.0.0.0
2. 没有启动 auth 我一直很好奇不做访问控制直接暴露在公网上的数据库都是用来干嘛的。 |
 |
billleeJan 7, 2017
11
如果你自己搞不明白或者懒，那么用发行版提供的包，至少默认配置是安全的
非要自己手动安装又不会配置就是作死 |
 |
BOYPTJan 7, 2017
12
因为很多中文的教程教他们自己编译, 然后监听 0.0.0.0, 之前的 redis 也是同理.
|
 |
zbinlinJan 7, 2017
13
|
 |
golmicJan 7, 2017 via Android
14
我的也被黑了～
|
 |
SP00FJan 7, 2017
15
没密码默认的不被 delete 掉才怪……
|
 |
q397064399Jan 8, 2017
16
阿里云，我 记得我买来的 vps 一直都是裸着的，端口全暴露在外面
还有我记得我刚买的那天晚上，同一公网段的 vps 兄弟 暴力了我的 22 整整一晚， 因为当时阿里云搞活动送 6 个月体验 一般国外绝大部分云厂商，默认不转发端口，公网是公网 内网是内网， 你要配置转发才行 |
 |
realpgJan 8, 2017
17
@roychan
ubuntu server 的 apt ， mysql ， redis ， mongodb 什么的安装好就是默认 127.0.0.1 的 你要有外网需求再去改 redhat 系的从来都是 0.0.0.0 的，但是很多人并不知道 |
 |
zouesJan 8, 2017 via iPhone
21
原来 mg 不就是 0.0.0.0 访问吗
|
 |
skywaymanJan 8, 2017
22
裸奔时痛骂别人看光了就是耍流氓....
|
 |
typeJan 9, 2017
23
mongodb 对公网开放了端口
|
 |
domtyJan 9, 2017
24
https://www.bleepingcomputer.com/news/security/number-of-hijacked-mongodb-databases-is-going-up-as-more-hackers-are-flocking-in/
不是个例，简单说就是因为某些漏洞，用户的 mongodb 被攻击了，然后所有数据都被删除，接着收到勒索邮件要救支付一定数量的比特币赎回备份数据。 |
 |
cobolaMar 28, 2017
26
默认只允许本机访问吧
|
Select Language