未分類
2020 年 5 月 30 日

好惨啊~~~~

好惨啊~~~~

資深大佬 : q1104408991 4

今天早上来公司发现 mysql 被删了…只留下了比特币地址和邮箱.搜地址和数据库关键词发现这几天有好多人中招….现在恢复了表….做了自动快照,宝塔后台也开通了网站防火墙,修改了数据库密码,限制了指定 ip 登录…..不知道有没有用,有大佬有类似的经验么,这种会不会来第二次

大佬有話說 (34)

  • 資深大佬 : kop1989

    现在的病毒一点灵魂都没有，就知道打钱……

  • 資深大佬 : mccreefei

    是不是 mysql 允许外网访问了

  • 主 資深大佬 : q1104408991

    @mccreefei 是….开放了全部 ip 访问,现在已经关闭了

  • 資深大佬 : gabezhao

    我要在你的腿上写一个大大的惨字

  • 資深大佬 : chairuosen

    数据库敢开外网。。。NB

  • 資深大佬 : alienx717

    留了个 email 么

  • 主 資深大佬 : q1104408991

    @alienx717 留了一个比特币地址,还有一个邮箱

  • 資深大佬 : pengjay

    测试服曾经中过招。。。

  • 資深大佬 : fixend

    服务器什么版本？ mysql 版本呢？这个是 mysql 漏洞导致的吗？

  • 資深大佬 : lbmjsls1

    php?

  • 資深大佬 : fenrao

    同惨啊，也是最近几天中招了，不过我的是测试服务器，我个人用来测试的，大意了，今天想用的时候发现数据库表都没了，也是只留比特币和付款网站

  • 資深大佬 : mccreefei

    我自己服务器开过外网访问也中过，关闭外网访问一般就没事了
    https://imgur.com/wFckoTY

  • 資深大佬 : fanyingmao

    最后付不付呢？话说以前也进过别人数据库 也想到可以这么干。

  • 資深大佬 : ZSeptember

    太惨了吧，，，以前的公司也经历过，mongo 。
    安全无小事啊。

  • 主 資深大佬 : q1104408991

    @fanyingmao 不付,因为我查看 log 的时候发现他执行的是 drop 操作….完全就是为了骗钱

  • 主 資深大佬 : q1104408991

    @fixend 服务器是阿里云的 win10 2016 数据版 mysql 是 5.5 应该不是漏洞导致的 完全是我傻….开放了所有 ip 访问

  • 資深大佬 : wtks1

    开放外网访问，好歹用防火墙限定一下 IP 啊

  • 主 資深大佬 : q1104408991

    @mccreefei 买了宝塔的网站防火墙服务.希望没有第二次了

  • 主 資深大佬 : q1104408991

    @ZSeptember 嗯嗯,数据库特别要注意一下

  • 資深大佬 : ilaipi

    应该是开放 ip + 默认端口 + 简单密码吧？ 好惨啊~~~~ 好惨啊~~~~

  • 資深大佬 : revalue

    吓得我都不敢用 mysql 了

  • 資深大佬 : revalue

    我纯属无知

  • 資深大佬 : 5G

    发个邮件：下次记得 Truncate

  • 資深大佬 : Hellert

    吓得我赶紧把 MySQL 的外网访问关了

  • 資深大佬 : hst001

    @fanyingmao #13 比特币勒索的都是直接删数据，你当真攻击者真的会买硬盘给你备份数据吗？付了钱就再损失一笔钱。

  • 資深大佬 : whasyt

    @ZSeptember 可以说说 mongo 被删时 ，服务器设置是什么情景吗？

  • 資深大佬 : kisshere

    借个问一句，怎么查看 MySQL 是否开启了外网访问权限？

  • 資深大佬 : respect11

    我用宝塔中过招。就很奇怪，换其他集成环境一点事没有。

  • 資深大佬 : dieser

    @kisshere
    先到数据库上看下，
    use mysql ；
    select user,host from user;
    看是不是允许所有主机都可以访问
    再到路由器那边看下，有没有设置 NAT，内网服务器端口映射到公网 IP 的某个端口上
    比如 mysql 的服务器 IP 192.168.0.100 端口 3306 公网 IP1.1.1.1 路由器上 NAT1.1.1.1:3306 <->192.168.0.100:3306
    别人就可以通过公网 IP 加端口，访问你内网的数据库了

    主的情况应该是开放了 22 端口加弱密码，被人暴力破解了吧。

  • 資深大佬 : opengps

    这时候得夸一夸 windows 的独占机制，前东家的垃圾运维，连端口防御都没做单位，数据库机器中病毒了，但是因为 windows 的数据库服务一直没停，所以数据库文件躲过了被加密，通过局域网实现了数据救回

  • 資深大佬 : mostkia

    用 SQLite 的无所畏惧[狗头]

  • 資深大佬 : cumt21g

    @kisshere 你 mysql 是不是监听 0.0.0.0?mysql 所在的机器是不是可以访问外网?

  • 資深大佬 : yukiloh

    顺便问下,我是用 maria10,运营商那儿关闭 3306,然后只允许 localhost+ssh,ssh 禁止密码登录,平时就远程 ssh 上去看数据
    这样子算符合基本要求吗

  • 資深大佬 : ZSeptember

    @whasyt 17 年的时候，那段时间应该很多 mongo 都中招了。没什么具体设置，就是端口开放外网访问了，被别人扫到了。