MYSQL 数据库遭比特币勒索。。。

[sunorg]

昨晚 centos7.3 +lnmp1.4 的 mysql 数据库被搞了。

勒索 0.2 比特币。。。。

mysql 密码为 10 位数字母组合， 开放远程访问。

普通方式查看操作记录， 暂无发现服务器被入的痕迹。其他文件都存在。。

损失的数据库得花 2 天时间才能恢复大约 9 成。。。。 郁闷

[sunorg]

@clino 一开始是随时可以扔，随着演示的机器越来越多，就重要起来了。

这 db 我是用来给用户的设备授权的。

[realpg]

看标题就知道你一定用了 centos

[realpg]

@swulling #20
mysql 的官方编译版，官方二进制版，以及我常用的 ubuntu server/debian 的源里面的版本，安装上默认都是监听 127.0.0.1 的，redis 也是
鬼知道为什么 redhat 系的自带的配置文件都是监听 0.0.0.0 的……

[likuku]

@cxbig

“如果 app 和 db 不在同一内网”

db 就近起一个 HTTPS-API 服务，app 通过 HTTPS-API 与 db 通讯。

[cxbig]

@likuku
我们的数据库服务都是纯内网的，需要通过堡垒机，SSH 都是用密钥文件。

[zjqzxc]

@realpg 我猜的，因为 rh 觉得自己有 selinux 在前面挡着
然而它并没有考虑到很多随手关掉 selinux

[lerry]

不使用默认端口好点

[falcon05]

难道你们不用防火墙吗？

[cjoke]

之前也被勒索过 2 个比特币，还留了个暗网的链接，上面告诉我要发到某某邮箱，然后我就直接重装系统了

[firebroo]

如果是公司的服务器，允许监听到公网只能有对外提供 http 和 https 服务的服务。

[raysonx]

@realpg 楼主用的 MySQL 软件包明显来自第三方，根本不是 Red Hat 的官方源。因为 RHEL7/CentOS7 的官方源里根本没有 MySQL，取而代之的是 MariaDB。
此外，MariaDB 安装后的默认策略是只允许本地连接 root 用户。
楼主提到了 LNMP 1.4，我猜楼主是用所谓的一键安装脚本配置的环境，鬼知道那些脚本做了什么操作。

[sunorg]

@raysonx 那必须的。

套件用 lnmp.org ，多年生产环境没问题。

对外开放也是我自己调整的。

[whx20202]

请问是什么漏洞呢？
我得 mysql 也开放在外网了

[sunorg]

@whx20202

Ï具体信息我不知道哦。
不过换个复杂的密码， 改个端口，应该还是可以的。

[vforbox]

升级 MySQL, 查看日志入侵者是如何怎么进来的，网上搜索此类漏洞 exp, 看是否可以重现。