कैसे शोधकर्ताओं ने खुले MongoDB और एलिटिक्स खोज डेटाबेस की खोज की

कुछ समय पहले, सभी प्रकार की गोपनीय सूचनाओं के साथ एडब्ल्यूएस क्लाउड स्टोरेज को अनुचित रूप से कॉन्फ़िगर करने के लिए सुरक्षा शोधकर्ताओं के बीच यह बहुत "फैशनेबल" था। तब मैंने यह भी एक छोटा सा नोट प्रकाशित किया कि अमेज़ॅन एस 3 ओपन क्लाउड स्टोरेज की खोज कैसे की जाती है।

हालांकि, समय बीतता गया और शोध में जोर सार्वजनिक रूप से उपलब्ध डेटाबेस की खोज में स्थानांतरित हो गया। पिछले एक साल में प्रमुख डेटा लीक के ज्ञात मामलों में से आधे से अधिक खुले डेटाबेस (2018 और यहाँ के लिए लीक की समीक्षा) से लीक हैं।

आज हम यह समझने की कोशिश करेंगे कि सुरक्षा शोधकर्ताओं द्वारा ऐसे डेटाबेस का पता कैसे लगाया जाता है ...

आवश्यक अस्वीकरण: यह लेख सार्वजनिक रूप से उपलब्ध डेटाबेस की खोज और पहचान से संबंधित कानूनी और नैतिक मुद्दों को संबोधित या बढ़ा नहीं करता है। नीचे दी गई सभी जानकारी को विशेष रूप से शैक्षिक और सूचनात्मक माना जाना चाहिए।

मुझे अमेरिका की खोज नहीं करनी चाहिए अगर मैं कहता हूं कि खुले डेटाबेस खोजने के लिए मुख्य उपकरण विशेष खोज इंजन हैं Shodan और Censys । मुझे तुरंत यह कहना होगा कि ये मुफ्त सेवाएं नहीं हैं और आपको पूर्ण खोज परिणामों तक पहुँचने के लिए अपने ईमानदारी से अर्जित गैर-रूबल का भुगतान करना होगा (Shodan के मामले में यह $ 59 / महीना है, और Censys के लिए - $ 99 / माह, और यह केवल न्यूनतम बुनियादी पैकेजों के लिए है)। खोज इंजन के मुक्त संस्करण खोज परिणामों में परिणामों की संख्या को बहुत सीमित करते हैं।

खोज पट्टी का उपयोग करके क्लासिक Google जैसी खोज के अलावा, ये खोज इंजन एपीआई के माध्यम से उनसे जुड़ने की क्षमता प्रदान करते हैं। सशुल्क सदस्यता के भाग्यशाली स्वामी को अपनी एपीआई कुंजी प्राप्त होगी। यह खोज कचरे के ढेर को ऊपर उठाने के कार्य को सुविधाजनक बनाने के लिए संभव बनाता है। मैंने इस आलेख के अंत में एपीआई कुंजी का उपयोग करने वाले उपयोगी स्क्रिप्ट और खोज स्वचालन कार्यक्रमों की एक सूची दी।

, , GitHub, API-, .

आइए शोंगन खोज इंजन को एक उदाहरण के रूप में देखें कि खुले मोंगोबीडी और एलिटिक्स खोज डेटाबेस को कैसे खोजना है।

सबसे सरल और सबसे स्पष्ट प्रश्न जो "भीमबीडीबी" होता है:

जैसा कि स्क्रीनशॉट से देखा जा सकता है, इस अनुरोध ने सभी अनुक्रमित MongoDB सर्वरों को हमें (डिफ़ॉल्ट पोर्ट 27017 पर) लौटा दिया। इसके अलावा, उनमें से अधिकांश (स्क्रीनशॉट में ये पहले तीन हैं) बंद डेटाबेस होंगे, कनेक्शन के लिए खातों की आवश्यकता होगी। और यह काफी नहीं है जो हम में रुचि रखते हैं। अधिक सटीक रूप से, यह बिल्कुल भी नहीं है।

चलिए खोज फ़िल्टर का उपयोग करके क्वेरी को थोड़ा जटिल करें "सभी:" मैंगोडब सर्वर जानकारी "सभी:" मेट्रिक्स ""

परिणाम पहले से काफी बेहतर लग रहा है। सभी पाया डेटाबेस उस समय स्वतंत्र रूप से उपलब्ध थे जब वे खोज इंजन द्वारा अनुक्रमित किए गए थे। संभावना की एक उच्च डिग्री के साथ, आप MongoDB के लिए कुछ प्रबंधक (उदाहरण के लिए, MongoDB के लिए NoSQL प्रबंधक या MongoDB के लिए स्टूडियो 3T) का उपयोग करके निर्दिष्ट आईपी पते पर उनसे जुड़ सकते हैं।

आप किसी देश में खोज को सीमित कर सकते हैं। मान लें कि चीन में खुले MongoDBs की खोज करें (क्वेरी "सभी:" मोंगोडब सर्वर जानकारी "सभी:" मेट्रिक्स "देश:" cn ""):

खुले इलास्टिक्स खोज डेटाबेस की खोज करने के लिए क्वेरी "पोर्ट:" 9200 "का उपयोग करना सुविधाजनक है: सभी:" लोचदार सूचकांक "":

दुर्भाग्य से, मुझे डेटाबेस के आकार के अनुसार खोज पट्टी में खोज स्थिति सेट करने का तरीका नहीं मिला। यदि आप जानते हैं कि यह कैसे करना है (खोज बार में "TotalSize" या "sizeOnDisk" मापदंडों पर एक फ़िल्टर सेट करें), तो टिप्पणियों में लिखें।

आप विशेष स्क्रिप्ट और कार्यक्रमों का उपयोग करके खोज परिणामों के लिए अधिक जटिल फ़िल्टर (डेटाबेस के आकार पर प्रतिबंध, सर्वर द्वारा सूचकांक में प्रवेश करने की तारीख आदि) लागू कर सकते हैं। इसके लिए, आपको पहले से भुगतान की गई पहुंच और एपीआई कुंजी की आवश्यकता होगी, जैसा कि मैंने ऊपर लिखा था।

यहाँ एक छोटी सूची है जो काम आ सकती है:

• cli.shodan.io आधिकारिक Shodan कंसोल है। रूसी में इसके उपयोग के बारे में यहां पढ़ा जा सकता है ।
• shodan-manual.com - रूसी में Shodan के लिए एक गाइड।
• github.com/woj-ciech/LeakLooker खुले डेटाबेस (MongoDB, CouchDB, Elasticsearch, आदि) खोजने के लिए एक अजगर कार्यक्रम है।
• lampyre.io एक बहुत शक्तिशाली (और अब तक बहुत छोटी गाड़ी है!) खोज और देखने के लिए चित्रमय इंटरफ़ेस जो पाया गया था। इसमें MongoDB की खोज के लिए बिल्ट-इन टेम्प्लेट हैं और बहुत कुछ। यह सभी परिणामों के साथ बीटा परीक्षण में है ...
• t.me/dataleak (यदि ब्लॉक किया गया है, तो tele.click/dataleak ) मेरा मामूली टेलीग्राम चैनल है जिसमें मैं सूचना लीक की समीक्षा करता हूं और विशेष रूप से, सार्वजनिक क्षेत्र में सुरक्षा शोधकर्ताओं को क्या मिलता है, इसके बारे में लिखते हैं। यह दिलचस्प है।