MongoDB未授权访问漏洞验证与修复过程

环境：Windows，MongoDB3.2

---

本文是Windows！Windows！Windows！环境下

一、漏洞验证

1.使用MSF验证

msfconsole
-------------进入msf-------------
search mongodb
use 1          #使用mongodb_login模块
show options
set RHOSTS ip  #设置你需验证的ip
set RPORT ***  #如果端口不是默认的27017，需要手动设置，是则跳过
exploit

可以看到该ip存在MongoDB未授权访问漏洞，没有进行身份验证

2.使用nmap验证

nmap -p 27017 --script mongodb-info ip  #设置你需验证的ip

二、修复

1. 寻找配置文件mongod.cfg（Windows下）

2. 在# network interfaces下插入以下代码

net:
  port:27017          #设置端口号
  bindIp:127.0.0.1    #设置只能本地访问
security:
  authorization: enabled  #开启授权

三、复现

可以看到连接被拒绝

四、结语