rds 해킹당하기

• 복구 방법에 대한 글이 아니다.
• 그냥 털리면 어떻게 되는지, 왜 털렸을까하는 내용의 기록이다.

털린 증상

• rds에 접속해보면 내 테이블들이 사라져있고,
• PLEASE_READ_ME_XMG 라는 데이터베이스가 생겨있고
• WARNING 테이블만 존재한다

• WARNING테이블을 셀렉트해보면 아래와 같은 메시지가 적혀있다

To recover your lost databases and avoid leaking it: visit http://hn4wg4o6s5nc7763.onion and enter your unique token ee974966c47f1027 and pay the required amount of Bitcoin to get it back. Databases that we have: acl-manager. Your databases are downloaded and backed up on our servers. If we dont receive your payment in the next 9 Days, we will sell your database to the highest bidder or use them otherwise. To access this site you have use the tor browser https://www.torproject.org/projects/torbrowser.html

• 이 웹사이트에 들어가서 토큰으로 로그인하고 비트코인을 지불하라는 내용이다
• 일반 브라우저에서는 접속하지 못하고, tor browser에서만 접속가능하다
• 나는 안들어가봤다. 왜냐면 중요한 데이터가 아니였기 때문이다

털린 이유

• rds 퍼블릭 액세스 허용
• 인바운드 규칙 모두 허용
• rds 비밀번호 1234

조치

• 중요한 정보가 없어서 그냥 rds를 삭제하고 다시 만들었다
• 삭제할 때 스냅샷을 만들지 않도록 한다. 스냅샷 저장 비용이 발생할 수 있다
• 새로 만든 RDS는 보안그룹 인바운드 규칙에서 내 IP만 접속가능하도록 해주었다
• 비밀번호를 어렵게 설정했다