当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2016-0171684

漏洞标题:中国石化石油勘探开发研究院mongo数据库未授权访问

相关厂商:中国石油化工股份有限公司

漏洞作者: phantom0307

提交时间:2016-01-21 17:26

修复时间:2016-01-26 17:30

公开时间:2016-01-26 17:30

漏洞类型:未授权访问/权限绕过

危害等级:中

自评Rank:10

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2016-01-21: 细节已通知厂商并且等待厂商处理中
2016-01-26: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

忘了是在哪篇英文文献里看到的~~
全球有几百T的非授权mongo数据裸奔在网络中
按照论文的思路,zoomeye扫了一下,基本都能够未授权拿到数据,仅以这个为例来说一下吧~~

详细说明:

mongo数据库作为nosql的代表,这几年使用者越来越多,而且最近刚发布了新版本,优化了存储引擎。
在使用mongo的时候,因为系统不会提示设置账号和密码,对!连账号都没有。
所以如果是不太了解安全的人员去操作数据库,就会出现未授权访问
测试URL:
219.234.151.181
我写了个脚本批量测试了几个IP,这里仅用mongo可视化工具做讲解

QQ截图20160121160702.jpg


设置好IP,端口,直接就可以进入库中

漏洞证明:

QQ截图20160121160529.jpg


QQ截图20160121160330.jpg


QQ截图20160121160451.jpg


QQ截图20160121160407.jpg

修复方案:

进入mongo
>use admin
>db.addUser(“****”, “****”)

版权声明:转载请注明来源 phantom0307@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2016-01-26 17:30

厂商回复:

漏洞Rank:2 (WooYun评价)

最新状态:

暂无


漏洞评价:

评价