在MongoDB上“部分启用身份验证”是什么意思？

Question

我在Shodan上扫描了我的服务器IP，我注意到它列出了我的MongoDB与“认证部分启用”

现在，我找不到它的实际含义。我确信我以正确的方式设置了身份验证，但“部分”这个词与我有关。

Answer 1

这意味着您有一个启用了身份验证的mongodb数据库。

我猜Shodan使用这个花哨的措辞是为了强调数据库仍然在监听面向外部的接口，即您可以使用命令连接到数据库

mongo <your IP>

从任何地方。

有些命令不需要身份验证，例如

db.isMaster()
db.runcommand({buildInfo:1})
db.auth()
....

它为利用漏洞、暴力破解等留下了空间。

服务器响应连接请求，这暴露了您正在使用mongo的事实。服务器的版本、ssl库、编译选项和服务器公布的其他信息可用于搜索已知漏洞或0day漏洞。

你可以看到在肖丹https://www.shodan.io/search?query=mongodb+server+information上暴露了哪些信息。将其与未启用身份验证的主机的可用信息量进行比较

强化mongodb设置的最流行方法是使其只能从本地网络/VPC/VPN访问。如果您的业务性质需要从互联网访问裸露的mongo，请将其隐藏在防火墙后面，以便仅允许来自已知IP的连接。在这两种情况下，你对Shodan和类似的服务都是完全不可见的。