MySQL成勒索新目标，数据服务基线安全问题迫在眉睫

awesome23 发布于2019-07-31 16:45 / 3174人阅读

摘要：基线安全问题已经成了漏洞之外入侵服务器的主要途径，特别是弱口令等情况。错误的配置可以导致相关服务暴露在公网上，成为黑客攻击的目标，加上采用空密码等弱口令，黑客可以轻易入侵这些服务。如无必要，均不要使用或者其他系统高权限账号启动相关服务。

据最新报道显示，继MongoDB和Elasticsearch之后，MySQL成为下个数据勒索目标，从2月12日凌晨开始，已有成百上千个开放在公网的MySQL数据库被劫持，删除了数据库中的存储数据，攻击者留下勒索信息，要求支付比特币以赎回数据。

问题分析

遍观MongoDB和Elasticsearch以及现在的MySQL数据库勒索，可以发现都是基线安全问题导致被黑客劫持数据而勒索，原因在于这些服务都开放在公网上，并且存在空密码或者弱口令等使得攻击者可以轻易暴力破解成功，直接连上数据库从而下载并清空数据，特别是不正确的安全组配置导致问题被放大。

其实类似问题已不是第一次，近期云鼎实验室观测到多起案例，攻击呈现扩大态势，不仅仅是勒索，更多的是服务器被入侵，从而导致数据被下载。基线安全问题已经成了Web漏洞之外入侵服务器的主要途径，特别是弱口令等情况。错误的配置可以导致相关服务暴露在公网上，成为黑客攻击的目标，加上采用空密码等弱口令，黑客可以轻易入侵这些服务。

安全自查

值此事件爆发之际，建议对自己的服务器进行自查，避免相关数据丢失等问题，具体自查方式可参考如下：
1、排查服务器开放的端口及对应的服务，如无必要，关闭外网访问；可以使用NMap 直接执行 nmap 服务器IP（在服务器外网执行），可得到以下结果即为开放在外网的端口和服务。

2、重点针对这些开放在公网上的服务进行配置的检查，检查相关服务是否设置密码，是否弱口令。
3、如无必要，均不要使用root或者其他系统高权限账号启动相关服务。

安全建议及修复方案

一、采用正确的安全组或者iptables等方式实现访问控制；
二、关闭相关服务外网访问和修改弱密码：
1、MongoDB

配置鉴权
下面以3.2版本为例，给出 MongoDB设置权限认证，具体步骤如下：

启动MongoDB进程是加上-auth参数或在MongoDB的配置文件中加上auth = true；

带auth启动的MongoDB，如未创建用户，MongoDB会允许本地访问后创建管理员用户。创建步骤如下：

1. 切换到 admin 库；
2. 创建管理员用户，命令如下(user和pwd可以根据需要设置)：
db.createUser({user: "root",pwd: "password",roles: [ "root" ]})
3. 使用管理员用户登录后，根据角色创建您需要的用户

关闭公网访问
可通过MongoDB的bind_ip参数进行配置，只需将IP绑定为内网IP即可，如下：

1. 启动时增加bind_ip参数：mongod --bind_ip 127.0.0.1,10.x.x.x
2. 在配置文件mongodb.conf中添加以下内容：
bind_ip = 127.0.0.1,10.x.x.x
其中10.x.x.x为您机器的内网IP.

2、Redis

配置鉴权

修改配置文件，增加 “requirepass 密码” 项配置（配置文件一般在/etc/redis.conf）

在连接上Redis的基础上，通过命令行配置，config set requirepass yourPassword

关闭公网访问

配置bind选项，限定可以连接Redis服务器的IP，修改 Redis 的默认端口6379

其他

配置rename-command 配置项 “RENAME_CONFIG”，重名Redis相关命令，这样即使存在未授权访问，也能够给攻击者使用config 指令加大难度（不过也会给开发者带来不方便）

相关配置完毕后重启Redis-server服务

3、MySQL

配置鉴权
MySQL安装默认要求设置密码，如果是弱命令，可通过以下几种方式修改密码:

UPDATE USER语句

//以root登录MySQL后，
USE mysql；
UPDATE user SET password=PASSWORD("新密码") WHERE user="root";
FLUSH PRIVILEGES;

SET PASSWORD语句

   //以root登录MySQL后，
SET PASSWORD FOR root=PASSWORD("新密码");

mysqladmin命令

mysqladmin -u root -p 旧密码 新密码

关闭公网访问

启动参数或者配置文件中设置bind-address= IP绑定内部IP

以root账号连接数据库，排查user表中用户的host字段值为%或者非localhost的用户，修改host为localhost或者指定IP或者删除没必要用户

4、其他服务
请参考以上方式或者官方文档进行配置

参考链接

《避免 MongoDB 被勒索详解，腾讯云上更安全》http://t.cn/RiVUEdY

《下一个猎杀目标：近期大量MySQL数据库遭勒索攻击》http://t.cn/Ri5ES1T

《知名搜索引擎Elasticsearch成为勒索软件敲诈目标》http://t.cn/RiVUgFD

《Redis 未授权访问配合 SSH key 文件利用分析》http://t.cn/RUO9UGY

本文首发腾云阁警惕！MySQL成数据勒索新目标

云数据库MySQL 新目标 linux云服务器安全配置基线勒索安全组 linux安全基线

文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。

转载请注明本文地址：https://www.ucloud.cn/yun/47036.html

MySQL成勒索新目标，数据服务基线安全问题迫在眉睫

摘要：推荐理由基线安全问题往往可能会造成黑客劫持数据而勒索，另外基线安全问题已经成了漏洞之外入侵服务器的主要途径，特别是弱口令等情况。推荐理由：基线安全问题往往可能会造成黑客劫持数据而勒索，另外基线安全问题已经成了Web漏洞之外入侵服务器的主要途径，特别是弱口令等情况。这篇文章针对这一问题我觉得给大家打了预防针，如何避免MySQL成为下个数据勒索目标，所以在此推荐给大家，希望对大家有所帮...

mumumu 2019-07-31 16:46 评论0 收藏0
MySQL成勒索新目标，数据服务基线安全问题迫在眉睫

摘要：基线安全问题已经成了漏洞之外入侵服务器的主要途径，特别是弱口令等情况。错误的配置可以导致相关服务暴露在公网上，成为黑客攻击的目标，加上采用空密码等弱口令，黑客可以轻易入侵这些服务。如无必要，均不要使用或者其他系统高权限账号启动相关服务。据最新报道显示，继MongoDB和Elasticsearch之后，MySQL成为下个数据勒索目标，从2月12日凌晨开始，已有成百上千个开放在公网的My...

defcon 2019-08-06 14:02 评论0 收藏0
Windows 11 安全配置基线设置的最终版本已发布

摘要：微软已经发布了安全配置基线设置的最终版本，今天可以使用微软安全合规工具包下载。在基于的浏览器于月终止支持并从中删除后，微软还删除了所有设置。 .markdown-body{word-break:break-word;line-height:1.75;font-weight:400;font-size:15px;overflow-x:hidden;color:#333}.markdown-b...

BaronZhang 2021-10-11 10:59 评论0 收藏0
2021全球勒索软件攻击榜公布——工业领域最容易中招

摘要：在今年一次影响严重的勒索软件攻击事件中，网络勒索攻击直接影响了当地的工业环境，导致美国东海岸大部分地区的天然气短缺，人们纷纷囤积天然气。如果企业已经不幸遭遇勒索软件的攻击，直接妥协支付赎金更不代表万事大吉。编者按勒索软件一直是令企业苦不堪言的存在：遭受网络攻击时，企业不仅会面临经济、声...

RebeccaZhong 2021-11-11 16:53 评论0 收藏0
阿里云安全肖力：从RSA2019看安全技术发展的十个机遇

摘要：各厂商纷纷推出各种零信任安全产品。身份认证将成为企业新的安全边界。过去一年从企业数据泄漏事件来看，数据安全技术和方案还需要提升成熟度。云安全成为最热焦点今年安全厂商涉及云安全，云安全成为各厂商最热点话题。又一年RSA大会归来。每一年参会，总会有一些不同的感悟，或是发现全球安全行业的新趋势，或是找到志同道合的新伙伴，或是看到很多人也相信我们相信的安全技术新方向。今天在回国的航班上提笔写...

willin 2019-06-21 16:54 评论0 收藏0