开发者社区> 晚来风急> 正文

MongoDB管理工具曝远程代码执行漏洞

简介: 本文讲的是MongoDB管理工具曝远程代码执行漏洞,MongoDB,IT界主流非关系型数据库(NoSQL)平台之一,是基于表的关系型数据库的流行替代物。
+关注继续查看

本文讲的是 MongoDB管理工具曝远程代码执行漏洞,MongoDB,IT界主流非关系型数据库(NoSQL)平台之一,是基于表的关系型数据库的流行替代物。日前,用于管理MongoDB的一款图形用户界面(GUI)工具phpMoAdmin被暴具有非常严重的安全漏洞,一旦被利用,此漏洞将允许攻击者在服务器上执行命令。

image

phpMoAdmin为PHP语言写就,与MySQL的数据库管理工具phpMyAdmin类似,可使网站开发者和管理员能够利用GUI进行多种数据库操作。然而,phpMyAdmin有一个强大的开发社区为依托(鉴于其跟MySQL的关系),phpMoAdmin却在已经两年多没更新了。

最近,研究人员发现phpMoAdmin代码里藏有一个严重漏洞。如上文所言,如果这个漏洞被利用,攻击者将可以在服务器上执行命令。此漏洞在本月早些时候被公开,一些管理员已经开始报告遭到漏洞利用攻击。

phpMoAdmin的开发团队是否注意到代码漏洞我们尚不清楚。但,在Metasploit框架中相关模块发布前一周,罪犯就已经在售卖这一漏洞了。

漏洞的核心在于脚本在GET请求上使用了eval()函数。

eval(‘$find = ‘ . $_GET[‘find’] . ‘;’);

此时,可藉由改变$action变量触发漏洞。

http://localhost/phpmoadmin/moadmin.php?action=listRows&collection=0&find=array();system(%27whoami%27);exit;

网络上的一个主机托管中心操控的僵尸网络瞄准了此漏洞,试图通过这个漏洞传播由Perl脚本语言写成的IRCbot病毒。这段病毒脚本,还有传播方式,都与去年CSO网站报道过的Shellshock漏洞事件类似。

使用phpMoAdmin的用户最好更换另一种GUI工具。目前有很多这种工具,比如RockMongo、MongoVUE、Mongo-Express或者UMongo。如果不想换,那就只剩限制对phpMoAdmin的访问一途了。

phpMoAdmin项目目前处于停滞状态,有可能都已经被放弃了,更加凸显与开源代码相关的安全风险。如果真的没人对它进行维护,漏洞将永远处于未修补状态。

上个月,一个德国研究团队发现了大约4万个公开的MongoDB之后,MongoDB团队发布了一片博文,列出了一些基本的安全措施。鉴于当前事态发展情况,建议仔细阅读这篇文章,以及MongoDB的安全手册。

原文发布时间为:三月 18, 2015
本文作者:nana
本文来自云栖社区合作伙伴安全牛,了解相关信息可以关注安全牛。
原文链接:http://www.aqniu.com/threat-alert/6978.html

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
【Android 逆向】Android 进程注入工具开发 ( 远程进程注入动态库文件操作 | 注入动态库 加载 业务动态库 | 业务动态库启动 | pthread_create 线程开发 )
【Android 逆向】Android 进程注入工具开发 ( 远程进程注入动态库文件操作 | 注入动态库 加载 业务动态库 | 业务动态库启动 | pthread_create 线程开发 )
12 0
使用cProfile等工具来提高python的执行速度
众所周知,python相较于其它语言速度较慢,但是我们可以通过优化的方法来提升效率。
8741 0
八款最佳的远程桌面工具
八款最佳的远程桌面工具 远程桌面是微软公司为了方便网络管理员管理维护服务器而推出的一项服务。从windows 2000 server版本开始引入,网络管理员使用远程桌面连接程序连接到网络任意一台开启了远程桌面控制功能的计算机上,就好比自己操作该计算机一样,运行程序,维护数据库等。
1781 0
+关注
9378
文章
243
问答
文章排行榜
最热
最新
相关电子书
更多
JS零基础入门教程(上册)
立即下载
性能优化方法论
立即下载
手把手学习日志服务SLS,云启实验室实战指南
立即下载