AWS EC2인스턴스로 배포하다 해킹당한썰

 

배포하기2까지 하고나면 내 인스턴스로 브라우저를 켜서 서버 인스턴스 공인IP로 접근하면 사이트에 잘 들어가집니다.

 

근데 문제가 하나 생겼는데 해킹을 당했었습니다....

 

내 aws 몽고디비가 다 날라갔다

오늘 혼술을 하고 잠깐쉬고 팀원의 슬랙메세지를 본다음 내 인스턴스 아이피에 올린 프로젝트를 테스트해보려고 했는데 뭔가 이상하다 로그인이 안된다

???????????????

데이터가 다 날라가있다…? 싹~ 아주 싹~~~~ 날라갔다

1byte도 안남기고 싹 날려버렸다

aws에 올려놓은 내 몽고디비에 접속한다음 mongodb로그를 까봤고

누가 delete했는지 찾아봤다

sudo grep “delete” mongod.log ⇒ 아무것도 안나온다

sudo grep “drop” mongod.log ⇒ 나왔다 찾았다 요놈

conn138 접속한놈이 테이블을 다 드롭했다는 로그가 있다

conn138로 다시 검색

sudo grep “conn138” mongod.log

:{"$uuid":"f7f741cb-c315-4941-bfea-872845087399"}},"ident":"index-1-3236089873450466903","dropTime":{"checkpointIteration":"475"}}}
{"t":{"$date":"2024-09-24T16:23:46.090+00:00"},"s":"I",  "c":"STORAGE",  "id":22214,   "ctx":"conn138","msg":"Deferring table drop for collection","attr":{"namespace":"local.startup_log","ident":"collection-0-3236089873450466903","dropTime":{"checkpointIteration":"475"}}}
{"t":{"$date":"2024-09-24T16:23:46.090+00:00"},"s":"I",  "c":"COMMAND",  "id":20336,   "ctx":"conn138","msg":"dropDatabase","attr":{"db":"local","numCollectionsDropped":1}}
{"t":{"$date":"2024-09-24T16:23:46.434+00:00"},"s":"I",  "c":"STORAGE",  "id":20320,   "ctx":"conn138","msg":"createCollection","attr":{"namespace":"READ__ME_TO_RECOVER_YOUR_DATA.README","uuidDisposition":"generated","uuid":{"uuid":{"$uuid":"7a453fd0-af52-4747-bbf1-74aab91f1ea5"}},"options":{}}}
{"t":{"$date":"2024-09-24T16:23:46.446+00:00"},"s":"I",  "c":"INDEX",    "id":20345,   "ctx":"conn138","msg":"Index build: done building","attr":{"buildUUID":null,"collectionUUID":{"uuid":{"$uuid":"7a453fd0-af52-4747-bbf1-74aab91f1ea5"}},"namespace":"READ__ME_TO_RECOVER_YOUR_DATA.README","index":"_id_","ident":"index-3-3236089873450466903","collectionIdent":"collection-2-3236089873450466903","commitTimestamp":null}}
{"t":{"$date":"2024-09-24T16:23:46.788+00:00"},"s":"I",  "c":"NETWORK",  "id":22944,   "ctx":"conn138","msg":"Connection ended","attr":{"remote":"61.4.97.157:56576","uuid":"59d2a759-c86e-4d46-87e7-3c87b5c2bd65","connectionId":138,"connectionCount":44}}

아이피는 61.4.97.157:56576인거같다.

내 데이터베이스를 다 날린다음에 createCollection을 했다

이름은 READ_ME_TO_RECOVER_YOUR_DATA.README 라고

콤패스를 열어서 해당 컬렉션을 까보니 이렇게 써놨다 ㅋㅋㅋㅋㅋㅋㅋ

aws에 몽고디비를 올리고나서 제대로쓴지 한 이틀만에 이런일을 당했다

단지 귀찮다는 이유만으로 보안규칙을 대충 설정해놨었다.

처음이니까.. 설마 나한테 해킹시도가 들어올까 안일했다.

대책을 마련해야했다.

일단 몽고디비 인스턴스의 인바운드규칙을 다시 설정했다

몽고디비 ssh port에 접근할 수 있는 아이피는 우리집에서만 접근할 수 있도록 하였고

 

27017포트로 접근할 수 있는 아이피는 우리집에서 사용할 수 있는 우리집 아이피와

Express서버가 구축되어있는 인스턴스 공인 아이피만 접근할 수 있게 설정하였다.

 

 

** 처음에는 팀원중에 한명이 실수로 DB를 날린줄알고 궁금해서 찾아보기 시작했었는데 비트코인내놓라는걸 컬렉션을보고 빵터졌었습니다. ㅋㅋ 인바운드 규칙을 잘 설정하고 디비 백업설정, AWS 볼륨 백업설정을 꼭 해야될거같습니다.