mongoaudit 是一个 CLI 工具，用于审计 MongoDB 服务器，检测不良安全设置并执行自动化渗透测试。

安装

克隆此仓库并运行安装程序：

> git clone https://github.com/stampery/mongoaudit.git
> cd mongoaudit
> python setup.py install
> mongoaudit

介绍

众所周知，MongoDB 的默认配置存在不少漏洞。这个事实，加上大量懒惰的系统管理员和开发人员，导致了媒体所谓的 MongoDB 末日。

mongoaudit 不仅检测错误配置、已知漏洞和错误，还会为您提供如何修复它们的建议，推荐最佳实践，并教您如何像专业人士一样进行 DevOps！

以下是应用的运行界面：

是的，这是控制台界面上的材料设计。（由 urwid 提供支持）

支持的测试

• MongoDB 监听在非默认端口
• 服务器仅接受来自白名单主机/网络的连接
• MongoDB HTTP 状态界面在 28017 端口不可访问
• MongoDB 未暴露其版本号
• MongoDB 版本高于 2.4
• 启用了 TLS/SSL 加密
• 启用了身份验证
• 启用了 SCRAM-SHA-1 身份验证方法
• 禁止服务器端 JavaScript *
• 授予用户的角色仅允许 CRUD 操作 *
• 用户仅拥有对单个数据库的权限 *
• 安全漏洞 CVE-2015-7882
• 安全漏洞 CVE-2015-2705
• 安全漏洞 CVE-2014-8964
• 安全漏洞 CVE-2015-1609
• 安全漏洞 CVE-2014-3971
• 安全漏洞 CVE-2014-2917
• 安全漏洞 CVE-2013-4650
• 安全漏洞 CVE-2013-3969
• 安全漏洞 CVE-2012-6619
• 安全漏洞 CVE-2013-1892
• 安全漏洞 CVE-2013-2132

带星号（*）的测试需要有效的身份验证凭据。

如何最好地保护我的 MongoDB？

一旦您运行了 mongoaudit 提供的任何测试套件，它将为您提供通过电子邮件接收完整详细报告的机会。这份个性化报告链接到一系列有用的指南，介绍如何修复每个具体问题以及如何加强您的 MongoDB 部署。

为了方便，我们还在 Medium 上 发布了 mongoaudit 指南。

贡献

我们很高兴你愿意贡献！您可以通过以下方式帮助我们：

• 提交对改进建议和遇到的错误的 issues。
• 复刻此仓库并提交拉取请求。
• 改进文档。

要提交拉取请求，请先复刻 mongoaudit 仓库，然后克隆您的复刻：

git clone [email protected]:<your-name>/mongoaudit.git

进行您的建议修改，使用 git push，然后提交拉取请求。

法律

许可协议

免责声明

"能力越大，责任越大"

• 切勿在您不拥有的服务器上使用此工具。在许多国家，未经授权访问他人的计算机系统是犯罪行为。
• 请自行承担使用此工具的风险。无论原因如何，我们不对您可能遭受的任何损失或损害承担责任。
• 不要作恶！:trollface:

支持与商标