【IT168 专稿】本文根据【2016 第七届中国数据库技巧大会】（微信搜索DTCC2014,关注中国数据库技巧大会公众号）现场演讲嘉宾邓焕老师分享内容收拾而成。录音收拾及文字编辑IT168@田晓旭，@老鱼。

　　嘉宾介绍：

　　邓焕，前360安全研究员，现白帽汇联合开创人&安全负责人目前重要负责安全研究，要挟分析等。

　　正文：

　　今天我给大家分享的议题是大数据下的攻防，首先自我介绍一下，我之前就职于360，一直从事网站方面的安全研究，离开360后，成立一家新公司，叫白帽汇。白帽汇重要是从事要挟情报和大数据安全，给企业供给尖端的安全技巧服务，确保企业不被入侵、不被脱库。

　　今天我重要是以一个攻击者的角度来分享网络攻防技巧，讲述在这种环境下攻击者是如何利用数据库特征和环境进行网络渗透的。

　　首先我要讲的是NoSQL的安全问题，提到大数据大家就会自然而然的想到NoSQL，它已经成为大数据环境必不可以的一部分。下面我们来看一下有哪些主流的NoSQL数据库。首当其冲的就是列式数据库，它的代表有HBase和Cassandra，其次是文档数据库，重要有MongoDB和CouchDB，第三是键值型数据库，包含Riak和Redis，还有图数据库如Neo4j和DEX。

　　我们重要是针对这些比较常用的数据库，来看一下攻击者是如何利用数据库特征来进行攻防的。首先我们思考一下，作为运维人员，我们为什么需要去关注这样的安全问题。

　　上图是一个国外网站，它在安全圈是比较著名的一个网站，它是一个网络空间搜索引擎，可以根据特定的信息进行搜索。假设我们现在针对网络中的信息进行搜集，我们查一下有哪些服务器在开放着6379端口，根据搜索成果我们创造全球大概有三万多台服务器的这个端口是对外开放的。

　　我们看一下NoSQL数据库存在哪些要挟安全的因素。

　　1.安全性比较差，传统关系型数据库在默认的条件情况下的安全措施要比NoSQL数据库做的更加完善，比如说MongoDB在默认情况下可能是对全网进行监听，但是传统关系型数据库，像Oracle、MySQL，PostgreSQL这样的在默认情况下是不会对全网进行开放的，只监听本地端口，并且默认供给某种情势的授权。

　　2.NoSQL数据库默认的情况下缺失部分身份验证的信息，甚至有些根本不存在验证。

　　3.在传输层中可能会直接应用明文传输，可以通过中间人攻击得到数据。

　　4.传统关系型数据库有SQL注入，其实在NoSQL的数据环境下也存在同样的现象，我们称之为NoSQL 注入。

　　5.NoSQL数据库安排需要一个可信任的环境，直接把安全属性丢给运维人员，由他们来解决相应的问题，不容许外部进行访问。

　　MongoDB

　　下面我们先从MongoDB来给大家介绍，MongoDB现在是最风行的数据库之一，默认的服务端口是27017，同时开放了28017作为Web接口。

　　下面列举了一些MongoDB的安全问题。

　　0day代表是指厂商未发布修复补丁的漏洞，而Nday指的是官方公开了这个漏洞并且发布了补丁，录音整理，但是还没有来得及进行全网推送，各大厂商都还没有进行修复。这时就很容易被网上的黑客利用，利用网上公开的漏洞细节进行全网扫描，录音整理，达到入侵的目标。MongoDB有几个比较著名的、比较高危的漏洞，利用这些漏洞能直接获取到服务器的权限，

　　其次因为MongoDB支撑JavaScript脚本，所以在MongoDB中很重要的安全问题是来自JavaScript的注入，通过直接履行JavaScript能够达到黑客所要想实现的目标。

　　最后一个安全问题是MongoDB的公网开放，同时这也是现在MongoDB存在的最大的安全问题。在正常情况下，它的交互是容许客户端直接访问的。