求助：MongoDB出现他人创建的集合及DigitalOcean部署项目异常咨询

嘿，遇到这种情况确实挺头疼的，我来帮你梳理下可能的原因和排查方向：

一、先排查MongoDB访问控制是否存在漏洞 #

• 检查MongoDB配置文件（通常路径为/etc/mongod.conf）：
  • 查看bindIp配置，如果设置为0.0.0.0（允许所有IP访问）但未开启认证，那任何人都能直接连接你的数据库！务必确认security.authorization是否设置为enabled。
  • 查看MongoDB日志（DigitalOcean上一般在/var/log/mongodb/mongod.log），搜索异常连接或集合创建的日志记录——日志会标注操作的发起用户和来源IP，能帮你定位是谁在操作。

二、检查Node.js应用的安全风险 #

• 排查依赖漏洞：运行npm audit扫描项目依赖，重点关注NoSQL注入相关的高危漏洞（比如老旧版本的mongoose可能存在注入风险）。
• 检查代码中的查询逻辑：有没有直接将用户输入未做过滤就拼接进MongoDB查询？比如动态构造查询对象时，若未限制字段或过滤特殊操作符，攻击者可能通过注入创建集合或篡改数据。
• 确认连接字符串是否泄露：有没有把包含用户名密码的MongoDB连接字符串提交到公开代码仓库、硬编码在前端代码，或者未加密存储在环境变量中？

三、DigitalOcean环境的安全核查 #

• 检查Droplet防火墙规则：MongoDB默认端口27017是不是开放给了所有IP？应该只允许你本地IP或应用服务器IP访问这个端口，避免公网无限制访问。
• 查看DigitalOcean监控数据：有没有异常的流量突增，或者大量陌生IP的连接尝试？这可能是被扫描攻击的迹象。

四、应急处理步骤 #

1. 立即限制MongoDB公网访问：先在Droplet防火墙中将27017端口的访问权限改为仅可信IP，或暂时关闭该端口，防止进一步的恶意操作。
2. 重置所有MongoDB用户密码：尤其是拥有读写权限的账户，使用复杂密码确保安全性。
3. 备份并清理数据库：先完整备份当前数据库，然后删除未知集合，同时检查这些集合的内容，确认是否存在恶意脚本或数据泄露痕迹。
4. 修复应用漏洞：更新所有存在风险的依赖，修复代码中的查询逻辑漏洞，确保用户输入经过严格过滤。
5. 开启MongoDB审计日志：在配置中启用审计功能，后续可以追踪所有数据库操作的来源和细节，方便快速定位问题。

内容的提问来源于stack exchange，提问作者Vishal Acharya