MongoDB 上的“部分启用身份验证”是什么意思？

Question

我在 Shodan 上扫描了我的服务器 IP，我注意到它列出了我的 MongoDB 并带有“部分启用身份验证”

现在，我找不到它的实际含义。我确信我以正确的方式设置了身份验证，但“部分”这个词让我担心。

Answer 1

这意味着您有一个启用了身份验证的 mongodb 数据库。

我猜 Shodan 使用这种花哨的措辞来强调数据库仍在侦听面向外部的接口，即您可以使用命令连接到数据库

mongo <your IP>

从任何地方。

有些命令不需要身份验证，例如

db.isMaster()
db.runcommand({buildInfo:1})
db.auth()
....

它为漏洞利用、蛮力攻击等留下了空间。

服务器响应连接请求，这暴露了您正在使用 mongo 的事实。您的服务器版本、ssl 库、编译选项和服务器公布的其他信息可用于搜索已知或 0day 漏洞。

您可以在 shodan https://www.shodan.io/search?query=mongodb+server+information上查看公开了哪些信息。将其与没有“部分启用身份验证”的主机可用的信息量进行比较

强化 mongodb 设置最流行的方法是使其只能从本地网络/VPC/VPN 访问。如果您的业务性质需要可从 Internet 访问的裸 mongo，请将其隐藏在防火墙后面，以仅允许来自已知 IP 的连接。在这两种情况下，您都将完全看不到 Shodan 和类似服务。