当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0206390

漏洞标题：互联网多台MongoDB服务器未授权访问内存大量用户与群等敏感数据

相关厂商：腾讯

漏洞作者： 路人甲

提交时间：2016-05-09 17:42

修复时间：2016-05-14 01:54

公开时间：2016-05-14 01:54

漏洞类型：网络未授权访问

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-05-09： 细节已通知厂商并且等待厂商处理中
2016-05-14： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

某MongoDB未授权访问，泄露大量数据，影响800gb数据，上亿的数据肯定是跑不了了
无意中发现了一个段，看了看内容和整个IP段，推断应该是腾讯的
查了好久，但是还是查不到整个段的信息
但是xxxxxx整个段都开了MongoDB，再结合数据内容还有数据大小
这么大的手笔，应该就是腾讯了，TMD希望不是乌龙！！TMD希望不是乌龙！！TMD希望不是乌龙！！

详细说明：

地址：

mask 区域 
1.://**.**.**


查了好久，但是还是查不到整个段的信息
但是114.228.201.1-254整个段都开了MongoDB，再结合数据内容还有数据大小
这么大的手笔，应该就是腾讯了
只看部分主机

mask 区域 
*****for 114.2*****
*****.043s l*****
*****TE    S*****
*****iltere*****
**********
*****for 114.2*****
*****.067s l*****
*****TATE  *****
*****losed *****
**********
*****for 114.2*****
*****.052s l*****
*****TE    S*****
*****iltere*****
**********
*****for 114.2*****
*****.016s l*****
*****TE    S*****
*****iltere*****
**********
*****for 114.2*****
*****.072s l*****
*****TATE S*****
*****pen  m*****
***** execution fail*****
**********
*****for 114.2*****
*****.042s l*****
*****TE    S*****
*****iltere*****
**********
*****for 114.2*****
*****.052s l*****
*****TATE  *****
*****losed *****
*****for 114.2*****
*****.047s l*****
*****TATE S*****
*****pen  m*****
*****db-i*****
***** Build*****
*****NCREMENTAL:NO /LARG*****
*****ctSize = *****
*****on = 3*****
*****its *****


来看未授权的主机的数据多少

1.png


看看所有的库

2.png


再看看其中的QQZONE这个最大的库

3.png


按照城市记录了QQ空间的信息，包括时间，名字，等等字段太多了

4.png


再看看其他的，记录了不少的登录状态，推断出应该是不是爬虫

5.png


同样是大量的登录状态 还有每个用户的名字，图片地址，等等很全的信息

6.png


还有大量的QQ群的信息

7.png


然后就是QQ号和QQ空间的信息

8.png

漏洞证明：

修复方案：

TMD希望不是乌龙！！TMD希望不是乌龙！！TMD希望不是乌龙！！ 不是乌龙求送礼物

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2016-05-14 01:54

厂商回复：

感谢白帽子对腾讯公司安全的关注。收到乌云通知后，我们第一时间进行漏洞验证，所提及IP不是腾讯公司的IP。同时，我们无法访问报告中所描述的MongoDB服务器，并在与乌云沟通后了解到漏洞报告者也未能下载提及的数据。目前根据漏洞报告者所提供的图片判断，所涉及内容属于QQ及QQ空间的公开信息，不涉及用户隐私信息。腾讯公司高度关注用户账号安全，会对此事进行持续关注。

最新状态：

暂无

漏洞评价：

评价

  1. 2016-05-09 17:00 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    -_-

  2. 2016-05-09 17:47 | HackBraid 认证白帽子 ( 核心白帽子 | Rank:1888 漏洞数:300 | 最近有人冒充该账号行骗，任何自称HackBrai...)

    @疯狗 吓死宝宝了

  3. 2016-05-09 18:40 | cwkiller ( 普通白帽子 | Rank:103 漏洞数:25 | 闭关修炼)

    前排

  4. 2016-05-09 18:47 | 陆由乙 ( 普通白帽子 | Rank:556 漏洞数:126 | 我是突突兔！)

    有可能是黑产采集的，也有可能是腾讯的。

  5. 2016-05-09 19:13 | Dotaer ( 路人 | Rank:20 漏洞数:5 | 多学习，多挖洞！)

    坐等公开

  6. 2016-05-09 19:40 | 坏男孩-A_A ( 实习白帽子 | Rank:81 漏洞数:23 | 膜拜学习中)

    吓死楼上了

  7. 2016-05-09 19:50 | 随风的风 ( 普通白帽子 | Rank:244 漏洞数:91 | 微信公众号：233sec 不定期分享各种漏洞思...)

    吓死楼下了

  8. 2016-05-09 20:16 | Faith4444 ( 路人 | Rank:26 漏洞数:10 | 说出来可能你不信，我就是个垃圾)

    @陆由乙 同意