mongodb - MongoDB 上的 "Authentication partially enabled"是什么意思？

Question

我在 Shodan 上对我的服务器 IP 进行了扫描，我注意到它列出了我的 MongoDB，并显示“部分启用了身份验证”
现在，我找不到它的真正含义。我确信我以正确的方式设置了身份验证，但“部分”这个词与我有关。

Answer 1

这意味着您有一个启用了身份验证的 mongodb 数据库。
我猜 Shodan 使用这个花哨的措辞来强调数据库仍在监听面向外部的接口(interface)，即您可以使用命令连接到数据库

mongo <your IP>

从任何地方。
有些命令不需要身份验证，例如

db.isMaster()
db.runcommand({buildInfo:1})
db.auth()
....

它为利用漏洞、蛮力攻击等留下了空间。
服务器响应连接请求，这暴露了您正在使用 mongo 的事实。您的服务器版本、ssl 库、编译选项和服务器公布的其他信息可用于搜索已知或 0day 漏洞。
您可以在 shodan https://www.shodan.io/search?query=mongodb+server+information 上查看公开了哪些信息.将其与未“部分启用身份验证”的主机可用的信息量进行比较
加强 mongodb 设置的最流行方法是使其只能从本地网络/VPC/VPN 访问。如果您的业务性质需要可从 Internet 访问的裸 mongo，请将其隐藏在防火墙后面以仅允许来自已知 IP 的连接。在这两种情况下，Shodan 和类似服务都将完全看不见您。