万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透!

最新推荐文章于 2024-06-16 10:42:21 发布
最新推荐文章于 2024-06-16 10:42:21 发布
阅读量411 收藏 8
点赞数 5
分类专栏： 2024年程序员面试 文章标签： mongodb 数据库
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/uiuuyy67/article/details/136715444
版权

验证是否配置成功

========

net stop mongodb

net start mongodb

参考下文第四点： Windows下图文详解Mongodb安装及配置

3、Kali 下MongoDB安装

=================

1）导入MongoDB密钥

=============

wget -qO - https://www.mongodb.org/static/pgp/server-4.4.asc | sudo apt-key add -

2）创建文件

======

echo “deb http://repo.mongodb.org/apt/debian buster/mongodb-org/4.4 main” | sudo tee /etc/apt/sources.list.d/mongodb-org-4.4.list

3）更新软件包数据库

==========

sudo apt-get update

4）安装MongoDB软件包

==============

sudo apt-get install -y mongodb-org

4、Kali MongoDB服务配置

==================

1）启动MongoDB服务

=============

sudo systemctl start mongod

#查看端口信息

netstat -ntulp

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

2）检查服务状态

========

systemctl status mongod

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

3）停止MongoDB服务

=============

systemctl stop mongod

4）重启MongoDB服务

=============

systemctl restart mongod

5）设置允许远程连接可在远程访问该库信息

sudo vi /etc/mongod.conf

修改bindIP为0.0.0.0

​

network interfaces

net:

port: 27017

bindIp: 0.0.0.0

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

6）Kali 卸载MongoDB

================

删除软件包：

sudo apt-get purge mongodb-org*

可以通过下面命令来查看这些软件包文件，也可以检测是否删除完成

locate monodb-org

删除数据目录：

sudo rm -r /var/log/mongodb

sudo rm -r /var/lib/mongodb

三、MongoDB基本操作

=============

1、简单概念

======

MongoDB Shell 是 MongoDB 自带的交互式 Javascript shell ，用于对 MongoDB 进行操作和管理的交互式环境。进入到 MongoDB shell 后，直接在命令行窗口下输入 mongo 即可（前提是配置了环境变量），进入后默认连接到test（数据库）。由于自带交互式 Javascript shell ，可以直接在Mongo shell里进行一些简单的计算操作。

1+1

2

0x10+0x10

32

2、基本命令

======

1）查看数据库列表

=========

show dbs

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

2）查看当前数据库

=========

默认登陆后，当前数据库为test

db

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

3）创建数据库

=======

use xiguadb

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

这里创建的xiguadb数据库并没有显示在dbs中，需要在xiguadb数据库中添加文档即可

4）插入数据

======

db.xiguadb.insert({“name”:“john”})

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

插入文档后，dbs中显示了xiguadb数据库 注：这里文档是插入到名为xiguadb的集合中（自动创建的集合）

5）查看集合列表

========

当前数据库下的所有集合列表

show collections

show tables

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

在 MongoDB 中，不需要创建集合。当你插入一些文档时，MongoDB 会自动创建集合，一般同数据库名。

6）创建集合

======

db.createCollection(“lanmei”)

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

7）条件查询

======

先插入几条文档，再进行条件查询，pretty() 方法以格式化的方式来显示所有文档

db.lanmei.insert({“str”:“kkk”,“id”:“001”})

db.lanmei.insert({“num”:“1234567”,“id”:“002”})

​

db.lanmei.find({“num”:“1234567”}).pretty()

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

文档插入后会自动添加一个 _id 属性，为唯一标识符

8）删除文档

======

db.lanmei.remove({“str”:“kkk”})

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

删除键值对为str和kkk的文档

9）删除集合

======

db.lanmei.drop()

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

10）删除数据库

========

删除目前使用的数据库

db.dropDatabase()

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

11）用户登陆

=======

mongo --host 192.168.112.177 --port 27017 -u “mgtest” -p “123.com” --authenticationDatabase “admin”

或者

mongo -u mgtest -p 123.com localhost:27017/admin

四、MongoDB工具使用

=============

1、MongoDB Compass安装

===================

MongoDB compass 为 MongoDB 可视化工具，用于运维（可装可不装）

1）MongoDB Compass下载

===================

在默认的安装下，该文件会自动安装。也可以不勾选 install MongoDB compass ，到官网上去安装 下载链接：

https://www.mongodb.com/download-center/compass

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

选择最新版下载文件即可（zip、msi均可）

2）MongoDB Compass msi文件安装

=========================

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

3）MongoDB Compass使用

===================

启动进入程序后，点击Connect连接本地数据库

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

连接成功，可以看到本地MongoDB数据库信息

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

MongoDB Compass作为官方的一款可视化管理工具，使用体验还是挺不错的

2、Robo 3T工具

===========

Robo 3T是一款免费、开源的MongoDB可视化管理工具。其前身为Robomongo，后被3T Software Labs收购更名为Robo 3T。

下载地址： https://robomongo.org/ 蓝奏云下载：

https://wwe.lanzoui.com/iV7hXo5baej

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

1）安装Robo 3T

===========

下载好后，点击启动安装，默认下一步即可

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

2）启动Robo 3T，连接数据库

=================

启动Robo 3T程序，在连接界面选择左上角的Create选项，地址填本地地址及端口，连接进入

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

3）查询数据库内容

=========

这里以上面的演示的xiguadb数据库和lanmei集合为例。下图可以看到MongoDB数据库信息结构

db.lanmei.insert({“str”:“kkk”,“id”:“001”})

db.lanmei.insert({“num”:“1234567”,“id”:“002”})

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

在查询窗口中输入命令进行查询操作，可自行上手体验。

3、Navicat_MongoDB工具

====================

Navicat for MongoDB 提供高效图形化界面，用于MongoDB 数据库的管理、开发和监控。它能连接本地或远程的 MongoDB服务器。

中文下载地址：

http://www.navicat.com.cn/products/navicat-for-mongodb 英文下载地址： https://navicat.com/en/products/navicat-for-mongodb

下载好安装程序后，默认下一步安装

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

安装路径默认

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

进入主页面后，选择连接，选择 MongoDB ，填连接名 mongo （这个名是随意填的）

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

之后操作轻松上手

4、NoSQLMap工具

============

NoSQLMap是一款免费、开源的基于python2的脚本工具，用于审计和自动注入攻击，并利用 NoSQL 数据库和 Web 应用程序中的默认配置弱点，使用 NoSQL 来披露或克隆数据库中的数据。是市面上为数不多的支持MongoDB数据库SQL注入的工具。

项目地址：

https://github.com/codingo/NoSQLMap

1）安装

====

python setup.py install

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

2）开启该工具

=======

python nosqlmap.py

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

1-设置选项 2-NoSQL数据库访问攻击 3-NoSQL Web应用程序攻击 4-扫描匿名MongoDB访问 5-Change平台(目前:MongoDB) x-Exit

3）简单使用

======

选择1-设置选项

1-设置目标主机/IP(当前:未设置)

2-设置web应用端口(当前为80)

3-设置App路径(当前:未设置)

4-切换为HTTPS(当前关闭)

5-设置MongoDB端口(当前:27017)

6-设置HTTP请求方式(GET/POST) (Current: GET)

7-设置MongoDB/Shell本地IP(当前:未设置)

8-设置shell监听端口(当前:未设置)

9-设置详细模式(Current: OFF)

0-载入选项文件

a-从保存的Burp请求载入选项

b-保存选项文件

h-设置请求头

x-返回主菜单

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

这里以上面的mozhe靶场做演示，靶场地址为：

http://219.153.49.228:49818/new_list.php?id=1

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

填完相关配置项后，x返回主菜单，选择3NoSQL Web应用攻击

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

跑完一圈下来，注入全部失败。。

数万字总结，建议收藏慢慢看！数据库安全之MongoDB渗透

上手体验极差，毕竟这个脚本上次更新已经好久了，这款脚本比较鸡肋，还是手动注入行。

五、MongoDB漏洞复现

=============

MongoDB在3版本以后并未出现RCE漏洞，一般的MongoDB漏洞基本上都是信息泄露之类的，所以要RCE还要和其余漏洞进行配合，下面介绍的漏洞也基本上是关于信息泄露的。

1、MSF渗透MongoDB

==============

信息泄露

0x01 简介

小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数初中级Java工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新Java开发全套学习资料》送给大家，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。
img
img
img

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频

如果你觉得这些内容对你有帮助，可以添加下面V无偿领取！（备注Java）
img

最后

看完上述知识点如果你深感Java基础不够扎实，或者刷题刷的不够、知识不全面

小编专门为你量身定制了一套<Java一线大厂高岗面试题解析合集：JAVA基础-中级-高级面试+SSM框架+分布式+性能调优+微服务+并发编程+网络+设计模式+数据结构与算法>

image

针对知识面不够，也莫慌！还有一整套的<Java核心进阶手册>，可以瞬间查漏补缺

image

全都是一丢一丢的收集整理纯手打出来的

更有纯手绘的各大知识体系大纲，可供梳理：Java筑基、MySQL、Redis、并发编程、Spring、分布式高性能架构知识、微服务架构知识、开源框架知识点等等的xmind手绘图~

image

image

能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！**

因此收集整理了一份《2024年最新Java开发全套学习资料》送给大家，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。
[外链图片转存中…(img-RQrjYLW6-1710405886255)]
[外链图片转存中…(img-11ctA04H-1710405886256)]
[外链图片转存中…(img-iF7pdM0c-1710405886257)]

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频

如果你觉得这些内容对你有帮助，可以添加下面V无偿领取！（备注Java）
[外链图片转存中…(img-RA37YGAE-1710405886258)]

最后

看完上述知识点如果你深感Java基础不够扎实，或者刷题刷的不够、知识不全面

小编专门为你量身定制了一套<Java一线大厂高岗面试题解析合集：JAVA基础-中级-高级面试+SSM框架+分布式+性能调优+微服务+并发编程+网络+设计模式+数据结构与算法>

[外链图片转存中…(img-z1Ghp8tE-1710405886258)]

针对知识面不够，也莫慌！还有一整套的<Java核心进阶手册>，可以瞬间查漏补缺

[外链图片转存中…(img-BhXcjW6s-1710405886258)]

全都是一丢一丢的收集整理纯手打出来的

更有纯手绘的各大知识体系大纲，可供梳理：Java筑基、MySQL、Redis、并发编程、Spring、分布式高性能架构知识、微服务架构知识、开源框架知识点等等的xmind手绘图~

[外链图片转存中…(img-IoFaGgrM-1710405886259)]

[外链图片转存中…(img-AF9XJCyc-1710405886259)]

本文已被CODING开源项目：【一线大厂Java面试题解析+核心总结学习笔记+最新讲解视频+实战项目源码】收录

程序员小DD
关注
  • 5
    点赞
  • 踩
  • 8
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
WEB渗透测试数据库
04-01
PentestDB 1 介绍 本项目用于提供渗透测试的辅助工具、资源文件 1.1 辅助工具 提供轻量级的易扩展的工具，可以快速编写exploit、添加漏洞验证/扫描规则、添加指纹规则、爆破规则等；包含以下功能： Exploit系统。易扩展的exploit系统，能够使用API快速编写exploit，能够批量执行exploit 子域名爆破。爆破子域名，使用域传送、DNS爆破、GoogleHacking进行子域名爆破 C段扫描。C段扫描，支持生成html格式输出文件 服务端应用识别。识别CMS类型、Web服务器、操作系统、WEB中间件等 URI敏感资源爆破。爆破WEB敏感文件，整站备份、配置备份、敏感文件等 社工密码字典生成。根据社工信息生成密码爆破字典 Google Hacking。GoogleHacking，生成URL字典 编解码等功能。支持非常丰富的编解码方式，方便做payload编码 1.2 资源文件 各种渗透测试常用的资源文件，包括各种爆破字典、exploit、webshell、攻击payload等 2 安装 从这里下载最新版本，或使用命令 git clone https://github.com/alpha1e0/pentestdb.git clone到本地 PentestDB支持Windows/Linux/MacOS，需使用python 2.6.x 或 2.7.x运行 2.1 解决lxml依赖 项目中的脚本文件依赖于lxml linux系统一般默认安装lxml，如果没有可通过以下方式安装： pip install lxml apt-get install lxml yum install lxml windows可通过以下方式安装lxml： 到这里找到对应系统的安装包，下载到本地 安装安装包，pip install package.whl 2.2 解决nmap依赖 项目中的C段扫描依赖于nmap扫描器 到这里下载nmap相应版本 在windows下需要设置环境变量，让系统能够找到nmap.exe。 3 使用 3.1 常用脚本 项目中的python脚本提供用有用的渗透辅助功能，根目录下的pen.py为脚本入口，另外script目录下也有其他一些脚本。 3.1.1 Exploit系统 pen.py的exploit子命令提供了exploit模块相关操作，exploit模块是一个轻量级的exploit框架，可以编写各种web漏洞的exploit： 搜索exploit信息 增加、删除、修改exploit信息 执行某个exploit 搜索并批量执行exploit exploit保存在项目根目录下的exploit目录下 例如： # 列举、搜索、注册、更新、删除 pen.py exploit -l pen.py exploit -q appName:joomla pen.py exploit --register exploit pen.py exploit --update cms_joomla_3_4_session_object_injection.py pen.py exploit -d "Joomla 1.5~3.4 session对象注入漏洞exploit" pen.py exploit --detail "Joomla 1.5~3.4 session对象注入漏洞exploit" # 执行exploit pen.py exploit -e cms_joomla_3_4_session_object_injection.py -u http://127.0.0.1:1234 --attack pen.py exploit -s appName:joomla -u http://127.0.0.1:1234 --verify pen.py exploit -s appName:joomla -u @url.txt 注：有关exploit模块的详细信息请参考exploit/readme.md 3.1.2 服务端应用识别 pen.py的service子命令提供了服务端应用识别的功能，能够识别服务器信息，包括： 操作系统 web服务器 web中间件 CMS等 例如： pen.py service http://xxx.com # 开启CMS识别加强模式 pen.py service http://xxx.com --cms 3.1.3 社工密码字典生成 pen.py的password子命令提供了根据社工信息生成密码字典的功能，能够设置不同关键字生成密码字典
渗透测试之【系统与数据库安全】
m0_67742636的博客
11-27 670
web安全之系统数据库安全
数据库渗透
qq_35012243的博客
05-18 2045
1.1 快速搭建 discuz 论坛 1.2 使用 kali 下 BurpSuite 对 discuz 后台注入 php 木马 1.3 使用 Cknife“菜函”上传 webshell 木马到网站 1.4 使用 Webshell 查看 mysql 数据库密码并盗取数据库 ** 1.1 快速搭建 discuz 论坛 ** 1.1.1 攻击 思路 想要拿下一台主机 A 的权限： 1、了解一下这个服务器：端口，服务器版本，操作系统版本。找漏洞。 2、拿到对 A 有一定权限的身仹。如果对方是一个 WEB 服务器.
Python武器库开发-武器库篇之Mongodb未授权漏洞扫描器(五十六)
最新发布
把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....
06-16 885
MongoDB是一款非常受欢迎的开源NoSQL数据库，广泛应用于各种Web应用和移动应用中。然而，由于默认配置的不当或者管理员的疏忽，导致不少MongoDB数据库处于未授权访问的状态，从而产生了潜在的安全风险。未授权访问漏洞指的是在MongoDB数据库中，没有设置正确的访问控制权限，导致攻击者可以直接访问数据库，获取或者修改敏感数据。这种漏洞的出现主要有以下几个原因：默认配置问题：MongoDB在默认情况下是没有开启身份验证机制的，这就意味着任何人都可以直接连接数据库并执行操作。
渗透测试之地基服务篇：服务攻防之数据库Mysql（下）
m0_59598029的博客
07-31 361
渗透测试-地基篇该篇章目的是重新牢固地基，加强每日训练操作的笔记，在记录地基笔记中会有很多跳跃性思维的操作和方式方法，望大家能共同加油学到东西。请注意本文仅用于技术讨论与研究，对于所有笔记中复现的这些终端或者服务器，都是自行搭建的环境进行渗透的。我将使用KaliLinux作为此次学习的攻击者机器。这里使用的技术仅用于学习教育目的，如果列出的技术用于其他任何目标，本站及作者概不负责。名言：你对这行的兴趣，决定你在这行的成就！
渗透数据库基础
十五年游戏主程转渗透之路
03-11 1994
mysql命令，渗透，infornation_schema
渗透测试之地基服务篇：服务攻防之数据库Redis（上）
wangluoanquan111的博客
08-01 420
渗透测试-地基篇该篇章目的是重新牢固地基，加强每日训练操作的笔记，在记录地基笔记中会有很多跳跃性思维的操作和方式方法，望大家能共同加油学到东西。请注意本文仅用于技术讨论与研究，对于所有笔记中复现的这些终端或者服务器，都是自行搭建的环境进行渗透的。我将使用KaliLinux作为此次学习的攻击者机器。这里使用的技术仅用于学习教育目的，如果列出的技术用于其他任何目标，本站及作者概不负责。名言：你对这行的兴趣，决定你在这行的成就！
渗透测试---数据库安全: sql注入数据库原理详解
有勇气的牛排博客
02-12 4109
文章目录1 介绍2 一般步骤3 注入3 函数3.1 常用的系统函数3.2 字符串连接函数3.2.1 concat() 函数3.2.2 concat_ws() 函数3.2.3 group_concat() 函数4 注入4.1 联合查询 union 注入4.2 information_schema 注入5.2.1 获取所有数据库4.2.2 获取指定数据库的表4.2.3 获取指定表的字段名4.2.4 获取字段值得内容4.3 基于报错信息注入4.3.1 三个常用报错函数4.4 数字注入4.5 搜索注入5 sql注入
MongoDB 未授权访问漏洞利用
tangshuangsss的专栏
12-20 8070
点击"仙网攻城狮”关注我们哦~不当想研发的渗透人不是好运维让我们每天进步一点点简介MongoDB是一个基于分布式文件存储的数据库，是一个介于关系数据库和非关系数据库之间的产品，它的特点是高...
MySQL数据库渗透及漏洞利用总结
05-09 4156
Mysql数据库是目前世界上使用最为广泛的数据库之一，很多著名公司和站点都使用Mysql作为其数据库支撑，目前很多架构都以Mysql作为数据库管理系统，例如LAMP、和W...
[渗透&攻防] 一.从数据库原理学习网络攻防及防止SQL注入
热门推荐
杨秀璋的专栏
07-13 2万+
这是最近自己学习渗透和网站攻防的文章，希望能深入地学习这部分知识，同时认了Na师傅和Rong师傅，知道了人外有人、天外有天，真的很享受这种探索问题、解决问题和分析知识的过程。希望文章对你有所帮助，尤其是学习网站如何防止SQL注入及数据库原理的初学者或安全工程师。如果文章中存在错误或不足之处，还请海涵~ 一.Google搜索知识 二.万能密码原理 三.数据库解读SQL注入攻防原理 1.数据库如何判断注入点 2.数据库如何判断字段总数 order by
kali 中 MongoDB安装
Yama的博客
03-29 3489
MongoDB 本文内容针对学习阶段 官网https://www.mongodb.com/ 安装 mongodb服务 mongodb图形化 先安服务后安图形化 环境：kali linux 2022.1 windows负担有点重，虚拟机不开相当于没安装，用的时候开启 # 0. 以下适用于 任何deb包软件安装 # 1. 官网下载 对应的安装包(我的vm kali linux2022.1 架构是linux amd架构) # 2. 下载对应的包(我下载了deb包) # 3. 在下载目录用命令行打开 # 4. su
【网络安全 | 渗透工具】SQLmap精讲（全网最详细图文教程）
等风来
01-06 1万+
SQLmap是一款开源的SQL注入工具，用于检测和利用Web应用程序的SQL注入漏洞。SQLmap支持多种数据库管理系统，包括MySQL、Oracle、PostgreSQL、Microsoft SQL Server、SQLite等，并支持各种不同的操作系统和平台。留言板项目SQLmap渗透实例 | CSDN@秋说本文以目标账号与其它进行讲解。
一文教你如何防御数据库渗透入侵
瓦罗兰特顶级C位的博客
01-21 1179
前段时间博主在做学校内部项目的时候，项目需要暂时上线测试，没想到上线测试几天
【DC—1渗透实战】
qq_23347209的博客
09-04 1107
Nmap（也就是Network Mapper，最早是Linux下的网络扫描和嗅探工具包）是一个网络连接端扫描软件，用来扫描网上电脑开放的网络连接端。Hydra是一款非常强大的暴力破解工具，它是由著名的黑客组织THC开发的一款开源暴力破解工具。Hydra是一个验证性质的工具，主要目的是：展示安全研究人员从远程获取一个系统认证权限。靶场下载地址：https://www.vulnhub.com/entry/dc-1,292/让其在根目录查找文件，并且执行bin/sh，就有root权限了。
mongodb未授权漏洞
weixin_53884648的博客
10-09 7973
mongodb 未授权访问漏洞复现及修复方案总结
MongoDB未授权漏洞复现
G3et的博客
05-20 1008
MongoDB未授权漏洞是指攻击者可以未经身份验证地远程访问MongoDB数据库服务器的漏洞。这种漏洞通常是由于管理员没有正确配置数据库安全选项，比如没有启用身份验证或者没有限制远程访问的IP地址等所导致的。MSF中用use auxiliary/scanner/mongodb/mongodb_login。攻击者可以利用这种漏洞来获取敏感数据、修改数据库记录，甚至是删除整个数据库。MongoDB默认端口是27017。
未授权访问：MongoDB未授权访问漏洞
qq_68163788的博客
05-09 1908
未经授权而访问MongoDB数据库的漏洞，攻击者可以利用这个漏洞来获取敏感数据、修改数据甚至破坏数据库。漏洞通常是由于管理员未正确配置访问控制、弱密码或者未及时更新数据库等原因导致的。为了防止未授权访问，管理员应该及时更新数据库版本、配置访问控制列表、使用强密码以及监控数据库访问日志等措施。通过加强安全措施和定期审查数据库权限，可以有效防止未授权访问漏洞的利用，保护数据库安全。
常见未授权访问漏洞修复
qq_41945550的博客
06-02 4613
MongoDB是一个基于分布式文件存储的数据库，由C++语言编写，旨在为WEB应用提供可扩展的高性能数据存储解决方案。MongoDB默认端口为27017。开启MongoDB服务时不添加任何参数时,默认是没有权限验证的,登录的用户可以通过默认端口无需密码对数据库任意操作（增、删、改、查高危动作）而且可以远程访问数据库。
MongoDB数据库安全
05-29
MongoDB数据库安全需要从以下几个方面来考虑： 1. 认证和授权：MongoDB可以通过用户名和密码对客户端进行身份验证，并为每个用户指定不同的访问权限，以保护数据库的安全性。 2. 数据加密：MongoDB支持对数据进行加密，包括在传输过程中和在磁盘上存储时。可以通过TLS/SSL协议对客户端和服务器之间的通信进行加密，也可以通过自定义的加密方式对数据进行加密。 3. 安全审计：MongoDB提供了各种安全审计功能，包括记录用户登录、权限更改、异常行为等信息。这些审计日志可以帮助管理员监视数据库的使用情况并检测潜在的安全问题。 4. 网络安全：MongoDB允许管理员配置网络安全策略，例如限制哪些IP地址可以访问数据库，哪些协议可以使用等。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值