漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0171684
漏洞标题：中国石化石油勘探开发研究院mongo数据库未授权访问
相关厂商：中国石油化工股份有限公司
漏洞作者： phantom0307
提交时间：2016-01-21 17:26
修复时间：2016-01-26 17:30
公开时间：2016-01-26 17:30
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-01-21： 细节已通知厂商并且等待厂商处理中
2016-01-26： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
忘了是在哪篇英文文献里看到的~~
全球有几百T的非授权mongo数据裸奔在网络中
按照论文的思路，zoomeye扫了一下，基本都能够未授权拿到数据，仅以这个为例来说一下吧~~
详细说明：
mongo数据库作为nosql的代表，这几年使用者越来越多，而且最近刚发布了新版本，优化了存储引擎。
在使用mongo的时候，因为系统不会提示设置账号和密码，对！连账号都没有。
所以如果是不太了解安全的人员去操作数据库，就会出现未授权访问
测试URL：
219.234.151.181
我写了个脚本批量测试了几个IP，这里仅用mongo可视化工具做讲解
设置好IP，端口，直接就可以进入库中
漏洞证明：
修复方案：
进入mongo
>use admin
>db.addUser(“****”, “****”)
版权声明：转载请注明来源 phantom0307@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2016-01-26 17:30
厂商回复：
漏洞Rank：2 (WooYun评价)
最新状态：
暂无