当前位置:   article > 正文

Apache Zookeeper未授权访问漏洞

Apache Zookeeper未授权访问漏洞

漏洞验证:
执行以下命令即可远程获取该服务器的环境:
echo envi|nc 192.168.15.74 2181

zookeeper有三个端口(可以修改),默认端口作用:
1、2181:对cline端提供服务
2、3888:选举leader使用
3、2888:集群内机器通讯使用(Leader监听此端口)

修复办法一(需要改程序)-- Zookeeper ACL权限配置及zkclient
方式一:
1)增加一个认证用户
addauth digest 用户名:密码明文
举例:
addauth digest user1:password1
2)设置权限
setAcl /path auth:用户名:密码明文:权限
setAcl /path digest:用户名:密码密文:权限
举例:
setAcl /test auth:user1:password1:cdrwa
3)查看Acl设置
getAcl /path

'digest,'user1:gMM5lnLQm2ZS+DRkBasbNQFb7Cw=
cdrwa
  1. 回退
    setAcl / world:anyone:cdrwa

zkclient增加ACL权限:

    ZkClient client = new ZkClient(url.getBackupAddress());

    /**
     * 增加Zookeeper的ACL控制选项
     */
    if (!StringUtils.isEmpty(url.getUsername()) && !StringUtils.isEmpty(url.getPassword())) {
        StringBuffer auth = new StringBuffer(url.getUsername())
                .append(":").append(url.getPassword());
        client.addAuthInfo("digest", auth.toString().getBytes());
    }

    return client;
}
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13

ZK的节点有5种操作权限:

CREATE、READ、WRITE、DELETE、ADMIN 也就是 增、删、改、查、管理权限,这5种权限简写为crwda(即:每个单词的首字符缩写)

注:这5种权限中,delete是指对子节点的删除权限,其它4种权限指对自身节点的操作权限

权限 描述 setAcl中的简写
write 能够设置znode的值 w
read 能够读取znode的值和列出它的children znode r
create 能够创建children znode c
delete 能够删除children znode d
admin 能够执行setAcl即设置访问控制列表 a
all 所有权限 wrcda

修复办法二 zookeeper创建ip白名单
格式:setAcl 路径 ip:xxx.xxx.xxx.xx1:cdrwa,ip:xxx.xxx.xxx.xx2:cdrwa
例如:setAcl /zkaa ip:127.0.0.1:cdrwa,ip:10.111.134.6:cdrwa
恢复:setAcl / world:anyone:cdrwa

修改办法三(推荐) 防火墙策略
iptables -I INPUT -s 172.16.65.0/24 -p tcp --dport 2181 -j ACCEPT
iptables -A INPUT -p tcp --dport 2181 -j DROP
允许172.16.65开头的ip 访问2181端口 ,其余ip不可访问2181 端口
查看防火墙:
iptables -nvL

作者:zhuchunyan_aiji
链接:https://www.jianshu.com/p/95a69a4c1691
来源:简书
著作权归作者所有。商业转载请联系作者获得授权,非商业转载请注明出处。

声明:本文内容由网友自发贡献,不代表【wpsshop博客】立场,版权归原作者所有,本站不承担相应法律责任。如您发现有侵权的内容,请联系我们。转载请注明出处:https://www.wpsshop.cn/w/我家小花儿/article/detail/617417
推荐阅读
相关标签
  

闽ICP备14008679号