据最新报道显示,继 MongoDB 和 Elasticsearch 之后,MySQL 成为下个数据勒索目标,从 2 月 12 日凌晨开始,已有成百上千个开放在公网的 MySQL 数据库被劫持,删除了数据库中的存储数据,攻击者留下勒索信息,要求支付比特币以赎回数据。
遍观 MongoDB 和 Elasticsearch 以及现在的 MySQL 数据库勒索,可以发现都是基线安全问题导致被黑客劫持数据而勒索,原因在于这些服务都开放在公网上,并且存在空密码或者弱口令等使得攻击者可以轻易暴力破解成功,直接连上数据库从而下载并清空数据,特别是不正确的安全组配置导致问题被放大。
其实类似问题已不是第一次,近期云鼎实验室观测到多起案例,攻击呈现扩大态势,不仅仅是勒索,更多的是服务器被入侵,从而导致数据被下载。 基线安全问题已经成了 web 漏洞之外入侵服务器的主要途径,特别是弱口令等情况。 错误的配置可以导致相关服务暴露在公网上,成为黑客攻击的目标,加上采用空密码等弱口令,黑客可以轻易入侵这些服务。
值此事件爆发之际,建议对自己的服务器进行自查,避免相关数据丢失等问题,具体自查方式可参考如下:
1、排查服务器开放的端口及对应的服务,如无必要,关闭外网访问;可以使用 NMap 直接执行 nmap 服务器 IP(在服务器外网执行),可得到以下结果即为开放在外网的端口和服务。
2、重点针对这些开放在公网上的服务进行配置的检查,检查相关服务是否设置密码,是否弱口令。
3、如无必要,均不要使用 root 或者其他系统高权限账号启动相关服务。
一、采用正确的安全组或者 iptables 等方式实现访问控制;
二、关闭相关服务外网访问和修改弱密码:
1、MongoDB
a. 配置鉴权
下面以 3.2 版本为例,给出 MongoDB 设置权限认证,具体步骤如下:
- 1.切换到admin库;2.创建管理员用户,命令如下 (user和pwd可以根据需要设置):db.createUser({
- user: "root",
- pwd: "password",
- roles: ["root"]
- }) 3.使用管理员用户登录后,根据角色创建您需要的用户
b. 关闭公网访问
可通过 MongoDB 的 bind_ip 参数进行配置,只需将 IP 绑定为内网 IP 即可,如下:
- 1. 启动时增加bind_ip参数:mongod --bind_ip 127.0.0.1,10.x.x.x
- 2. 在配置文件mongodb.conf中添加以下内容:
- bind_ip = 127.0.0.1,10.x.x.x
- 其中10.x.x.x为您机器的内网IP.
2、Redis
a. 配置鉴权
b. 关闭公网访问
c. 其他
相关配置完毕后重启 Redis-server 服务
3、MySQL
a. 配置鉴权
MySQL 安装默认要求设置密码,如果是弱命令,可通过以下几种方式修改密码:
- //以root登录MySQL后,
- USE mysql;
- UPDATE user SET password=PASSWORD('新密码') WHERE user='root';
- FLUSH PRIVILEGES;
- //以root登录MySQL后,
- SET PASSWORD FOR root=PASSWORD('新密码');
- mysqladmin -u root -p 旧密码 新密码
b. 关闭公网访问
4、其他服务
请参考以上方式或者官方文档进行配置
来源: http://www.tuicool.com/articles/z6zemam