一次 mongodb 未加密导致的惨痛教训，很痛！

[zy5a59]

之前做了一些开发，在阿里云上部署了服务，用的是 mongodb，因为有时候会在本地做一些数据的更新，而且我这流量太小，相当于没有，当时也有点懒，就没给 db 加权限控制，结果今天发现数据被删了，要 0.15 个比特币才给恢复。
于是赶紧想了想有什么恢复措施，发现平时根本没做备份，突然想到之前使用过阿里云快照功能，进去一看，居然 17 年以后就开始收费了。。自然也没有自动快照生成。只能在重新录入数据了。又要花费好长时间了。。。

网上搜了下 mongodb 数据勒索的事件，发现以前早就有了，就是利用了 mongodb 不需要身份验证来搞的。
https://yq.aliyun.com/articles/114813

借此机会给广大 v 友提个醒，mongodb 一定要记得加密，最好也能经常备份数据。

顺便求问：mongodb 没有手动备份，有可以恢复数据的方法么。。。

[AngryMagikarp]

你的 mongodb 绑定的是公网 IP 地址吗

[zy5a59]

@AngryMagikarp 是。。因为在本地方便直接连数据库改些东西，就直接绑了。

[AngryMagikarp]

@zy5a59 我自己的服务器我也都是没有密码的，不过只绑定内网 IP 。要该数据就 ssh 上去改。

[smallgoogle]

淡定。我也遇到过。但是数据不重要 从新再录入一边就好了。

[type]

@zy5a59 将 mongodb 绑到内网 IP ；本地如果要连接数据库，使用 SSH Tunnel，就兼顾安全和方便了。

[marcTTT]

楼上正解，ssh 连数据库就可以，不用绑公网 ip

[spadger]

一个不加密的默认设置，害了多少人

[zy5a59]

@AngryMagikarp @type @marcTTT 学习了

[lovedebug]

这种数据库难道不应该限制内网本地登陆吗？

[imnaive]

可以试试 MongoDB 官方的 Atlas，需要设置信任的 IP 和管理员账号密码。

[sphawkcn]

佩服，敢绑公网。

[xuanbg]

无论是 mysql 、redis 还是 mongo 啊 mq 啊什么的，加密码，不用默认端口，有条件就用白名单是基操啊。

[diferent]

这不不叫未加密吧.
这个叫未认证.

[nicevar]

隔一段时间在 v 站上就看到楼主这样犯错的，很多人还是一样，开公网，即使加密有啥用呢，有漏洞照样危险，不开公网才是最保险的，楼上的人也说了，直接用 ssh 就可以了，bitvise 这样的软件直接就能隐射到本地。

[Vegetable]

很常见，我还和同事分析了一波，认为就算你给了 btc 。也不可能给你恢复数据，因为他们的网络环境根本不可能允许他们下载超大数据库，而小数据库往往是没价值的。

[PHPer233]

黑客给你上了一课，吃一堑长一智，以后要保护好自己的东西，别有侥幸心理。

[zxfgds]

@type

木错~~

[zy5a59]

@lovedebug
@xuanbg
还是之前意识不够，感觉这种小数据库没人会搞，这次真是上了一课

[zy5a59]

@diferent 嗯是，未认证。。

[zy5a59]

@nicevar 嗯嗯，重要的还是不能有侥幸心理