mongodb未授权访问getshell

MongoDB未授权访问

MongoDB服务开放在公网上时，若未配置访问认证授权，则攻击者可无需认证即可连接数据库，对数据库进行任何操作（增、删、改、查等高危操作），并造成严重的敏感泄露风险。

MongoDB服务安装后，默认未开启权限认证，且服务监听在0.0.0.0.，会造成远程未授权访问漏洞。在mongo数据库服务监听在0.0.0.0的情况下，若未在admin数据库中添加任何账号，且未使用–auth参数启动mongoDB服务，则会造成未授权访问（二者缺一不可）。只有添加在admin中添加了账号，并使用–auth参数启动时，Mongodb的认证授权服务才能生效。