Softonic

Kontrollera om databasportar är exponerade mot internet

Steg 1 / 2 Värd
Skanna endast värdar du äger eller har uttryckligt tillstånd att testa. Skanningen kontrollerar cirka 20 välkända TCP-portar.
Nästa

En databas som svarar på det publika internet är ett av de vanligaste serverfelen. Ange din server och se om MySQL (3306), PostgreSQL (5432) eller Redis (6379) accepterar en anslutning utifrån. Om ingen av dem visas går de inte att nå härifrån.

Så testar du om databaser är exponerade

  1. 1

    Ange serveradressen

    Använd det publika värdnamnet eller IP-adressen för datorn som är värd för databasen.

  2. 2

    Kör skanningen

    Tryck på Nästa och klicka sedan på Skanna vanliga portar.

  3. 3

    Kontrollera 3306, 5432 och 6379

    Om någon av dem visas accepterar tjänsten anslutningar från internet.

  4. 4

    Åtgärda det som ska vara privat

    Bind tjänsten till en privat adress eller stäng porten i brandväggen och skanna sedan igen.

Varför exponering spelar roll

Databaser och cacheminnen är byggda för att nås av din egen applikation, inte av främlingar. Redis körs ofta utan lösenord i standardinställningar, och en nåbar MySQL- eller PostgreSQL-port bjuder in till lösenordsgissning. Att hålla dessa portar borta från det publika internet är en grundläggande försiktighetsåtgärd.

Vad varje resultat betyder

Port Tjänst Om den visas
3306 MySQL Servern accepterar TCP-anslutningar från internet
5432 PostgreSQL Samma sak, granska åtkomstreglerna och bindningsadressen
6379 Redis Samma sak, kontrollera lösenord och en privat bindningsadress

En öppen port betyder inte att databasen saknar skydd. Autentisering och värdregler kan fortfarande neka inloggningen. Den betyder att tjänsten går att nå och att den bör granskas närmare.

Vanliga åtgärder

  1. Bind databasen till localhost eller till ett privat nätverk.
  2. Lägg till en brandväggsregel som bara tillåter porten från dina applikationsservrar.
  3. För molnservrar ska du granska säkerhetsgruppen och nätverks-ACL:en, inte bara brandväggen på värddatorn.
  4. Skanna igen för att bekräfta att porten inte längre visas.

Begränsningar i denna kontroll

Bara de tre standardportarna testas. En databas på en annan port upptäcks inte. Stängd, filtrerad och onåbar ger samma tomma resultat, så en ren skanning betyder bara att dessa portar inte accepterade en anslutning härifrån, inget mer. Skanna bara servrar som du äger eller förvaltar.

När exponering är avsiktlig

Vissa uppsättningar exponerar en databas med flit, till exempel en hanterad tjänst som accepterar anslutningar från en lista med tillåtna adresser, eller en replik som andra regioner ansluter till. Om det gäller dig är en öppen port i den här skanningen väntad. Frågan att ställa är om listan över tillåtna adresser verkligen begränsar åtkomsten, och det kontrollerar du genom att se att porten beter sig som du tänkt från adresser utanför listan.

Om du inte avsåg någon exponering ska du behandla en öppen databasport som ett fynd som ska åtgärdas idag. Titta sedan i databasloggarna efter anslutningsförsök från adresser du inte känner igen.

Vanliga frågor

Nej. Det öppnar bara en TCP-anslutning till porten och rapporterar om den accepterades. Inga inloggningsuppgifter skickas och inga frågor körs.

Nej. Bara standardportarna i den fasta listan testas, så en databas på en annan port kontrolleras inte.

Inte alltid, eftersom autentisering och kryptering fortfarande kan skydda den. Men exponering vidgar angreppsytan, så de flesta uppsättningar håller dessa portar privata.

Brandväggen kanske bara tillåter din kontorsadress. Skanningen kommer från en annan publik adress, så den ser det som alla andra ser, och det är just poängen med kontrollen.

Relaterade verktyg

IP-subnätskalkylator

Beräkna subnätsintervall, nätverk, broadcast, användbara värdar och wildcard-mask för valfritt IPv4-CIDR-block med full täckning /0 - /32.

Kontroll av om en webbplats är nere

Kontrollera om en webbplats svarar från en oberoende server. Visar status UP eller DOWN, HTTP-statuskod, svarstid och serverns IP, så att du kan skilja ett verkligt avbrott från ett lokalt nätverksproblem.

Kontroll av webbplatsens tillgänglighet

Sondera vilken offentlig URL som helst på begäran och registrera dess HTTP-status och svarstid. Klicka igen för att bygga en kort historik på upp till 20 stickprov med tillgänglighet i procent och genomsnittligt svar, utan konto.

DKIM-kontroll

Ange domän och DKIM-selektor för att granska den publika nyckeln i DNS TXT. Se post, nyckeltyp och tydliga förklaringar till saknade, återkallade eller felaktiga nycklar.

User Agent-tolk

Klistra in valfri user-agent-sträng för att läsa webbläsare, operativsystem, enhetstyp och om det är en bot. Lämna tomt för att kontrollera din egen webbläsare.

Traceroute-verktyg

Starta en traceroute till valfri värd via pålitliga publika sondtjänster och lär dig läsa utdatan hopp för hopp för att hitta latensspikar, paketförlust och routingproblem.

Verktyget finns på andra språk

Guider och användningsområden