互联网多台MongoDB服务器未授权访问内存大量用户与群等敏感数据

  • 内容
  • 相关

漏洞详情

披露状态:

 

2016-05-09: 细节已通知厂商并且等待厂商处理中
2016-05-09: 厂商已查看当前漏洞内容,细节仅向厂商公开
2016-05-14: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

某MongoDB未授权访问,泄露大量数据,影响800gb数据,上亿的数据肯定是跑不了了
无意中发现了一个段,看了看内容和整个IP段,推断应该是腾讯的
查了好久,但是还是查不到整个段的信息
但是xxxxxx整个段都开了MongoDB,再结合数据内容还有数据大小
这么大的手笔,应该就是腾讯了,TMD希望不是乌龙!!TMD希望不是乌龙!!TMD希望不是乌龙!!

详细说明:

地址:

mask 区域
1.://**.**.**





查了好久,但是还是查不到整个段的信息

但是114.228.201.1-254整个段都开了MongoDB,再结合数据内容还有数据大小

这么大的手笔,应该就是腾讯了

只看部分主机

mask 区域
*****for 114.2*****
*****.043s l*****
*****TE S*****
*****iltere*****
**********
*****for 114.2*****
*****.067s l*****
*****TATE *****
*****losed *****
**********
*****for 114.2*****
*****.052s l*****
*****TE S*****
*****iltere*****
**********
*****for 114.2*****
*****.016s l*****
*****TE S*****
*****iltere*****
**********
*****for 114.2*****
*****.072s l*****
*****TATE S*****
*****pen m*****
***** execution fail*****
**********
*****for 114.2*****
*****.042s l*****
*****TE S*****
*****iltere*****
**********
*****for 114.2*****
*****.052s l*****
*****TATE *****
*****losed *****
*****for 114.2*****
*****.047s l*****
*****TATE S*****
*****pen m*****
*****db-i*****
***** Build*****
*****NCREMENTAL:NO /LARG*****
*****ctSize = *****
*****on = 3*****
*****its *****





来看未授权的主机的数据多少

1.png





看看所有的库

2.png





再看看其中的QQZONE这个最大的库

3.png





按照城市记录了QQ空间的信息,包括时间,名字,等等字段太多了

4.png





再看看其他的,记录了不少的登录状态,推断出应该是不是爬虫

5.png





同样是大量的登录状态 还有每个用户的名字,图片地址,等等很全的信息

6.png





还有大量的QQ群的信息

7.png





然后就是QQ号和QQ空间的信息

8.png

 

漏洞证明:

 

修复方案:

TMD希望不是乌龙!!TMD希望不是乌龙!!TMD希望不是乌龙!! 不是乌龙求送礼物

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2016-05-14 01:54

厂商回复:

感谢白帽子对腾讯公司安全的关注。收到乌云通知后,我们第一时间进行漏洞验证,所提及IP不是腾讯公司的IP。同时,我们无法访问报告中所描述的MongoDB服务器,并在与乌云沟通后了解到漏洞报告者也未能下载提及的数据。目前根据漏洞报告者所提供的图片判断,所涉及内容属于QQ及QQ空间的公开信息,不涉及用户隐私信息。腾讯公司高度关注用户账号安全,会对此事进行持续关注。

最新状态:

暂无


本文标签:

版权声明:若无特殊注明,本文皆为《安三》原创,转载请保留文章出处。『鹦鹉搜索』

百度收录:百度已收录『查看详情』

本文链接:互联网多台MongoDB服务器未授权访问内存大量用户与群等敏感数据 - https://www.15qq.cn/wooyun/479.html

发表评论

电子邮件地址不会被公开。 必填项已用*标注

允许邮件通知