ZooKeeper 未授权访问漏洞学习

漏洞简介

ZooKeeper是一个分布式的，开放源码的分布式应用程序协调服务，是Google的Chubby一个开源的实现，是Hadoop和Hbase的重要组件。它是一个为分布式应用提供一致性服务的软件，提供的功能包括：配置维护、域名服务、分布式同步、组服务等。

Zookeeper安装部署之后默认情况下不需要任何身份验证，造成攻击者可以远程利用Zookeeper，通过服务器收集敏感信息或者在Zookeeper集群内进行破坏（比如：kill命令）。攻击者能够执行所有只允许由管理员运行的命令。

环境搭建

kali linux

ZooKeeper 下载地址：https://issues.apache.org/jira/secure/attachment/12436620/ZooInspector.zip

tar -xzvf zookeeper-3.4.14.tar.gz 
cd zookeeper-3.4.14/conf
mv zoo_sample.cfg zoo.cfg
../bin/zkServer.sh start 

./zkCli.sh -server进行连接：

查看ACL：

world 代表任何用户。

漏洞复现

攻击机：
echo envi|nc 192.168.133.129 2181 显示服务器环境：

使用可视化工具进行连接：https://issues.apache.org/jira/secure/attachment/12436620/ZooInspector.zip

修复方案

-修改 ZooKeeper 默认端口，采用其他端口服务。

-添加访问控制，配置服务来源地址限制策略。

-增加 ZooKeeper 的认证配置。

参考链接：常见未授权访问漏洞总结