zookeeper关于 www支持trace请求漏洞修复方法

已于 2022-03-11 10:15:33 修改
阅读量2.1k 收藏
点赞数 1
分类专栏： java 文章标签： zookeeper prometheus trace
于 2022-01-04 10:54:57 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/shuaixingrumo/article/details/122297879
版权

一个是adminServer端口， 这个升级到>=3.6.2版本可以解决

还有个事prometheus监控的server服务

这个需要修改源码， PrometheusMetricsProvider

watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBA5Lqu5ZCM5a2m,size_20,color_FFFFFF,t_70,g_se,x_16

 继承watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBA5Lqu5ZCM5a2m,size_13,color_FFFFFF,t_70,g_se,x_16

watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBA5Lqu5ZCM5a2m,size_20,color_FFFFFF,t_70,g_se,x_16用这个类去启动prometheus监控服务

0bf19fa130a246b693656701e4fd18c9.png

 watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBA5Lqu5ZCM5a2m,size_20,color_FFFFFF,t_70,g_se,x_16

 然后重新编译这个类， 在zk安装目录， 创建build/classes目录， 将编译好的类放入这个目录下， 重启服务， 现在zk的prometheus监控服务已经不支持trace访问了， 漏洞修复。

 

 

 

光亮的程序猿
关注
专栏目录
二十八种未授权访问漏洞合集（暂时最全）
墨痕诉清风的博客
01-04 4771
目录 0x01 未授权漏洞预览 0x02 Active MQ 未授权访问 0x03 Atlassian Crowd 未授权访问 0x04 CouchDB 未授权访问 0x05 Docker 未授权访问 0x06 Dubbo 未授权访问 0x07 Druid 未授权访问 0x08 Elasticsearch 未授权访问 0x09 FTP 未授权访问 0x10 HadoopYARN 未授权访问 0x11 JBoss 未授权访问 0x12 Jenkins 未授权访问 0x13 Jupyt
Web渗透测试-实战 方法 思路 总结
m0_55595611的博客
02-21 9450
尽可能的搜集目标的信息 端口信息 DNS信息 员工邮箱 信息搜集的分类 1、主动式信息搜集（可获取到的信息较多，但易被目标发现） 2、通过直接发起与被测目标网络之间的互动来获取相关信息，如通过Nmap扫描目标系统。 3、被动式信息搜集（搜集到的信息较少，但不易被发现） 4、通过第三方服务来获取目标网络相关信息。如通过搜索引擎方式来搜集信息。 搜索引擎 Google hacking 常用搜索语法： intitle:KEYWORD //搜索网页标题中含有关键词的网页 intext:KEYWORD //搜索站
远端WWW服务支持TRACE请求漏洞修复(linux)
edonzhon
03-04 7453
系统版本 CentOS Linux release 7.4.1708 (Core) 内核版本 Linux ngiosSvr 3.10.0-693.el7.x86_64 #1 SMP Tue Aug 22 21:09:27 UTC 2017 x86_64 x86_64 x86_64 GNU/Linux apache版本： 1.漏洞详情如下 2.修复方式： 在httpd.conf的...
centos修复 远端WWW服务支持TRACE请求
weixin_45618691的博客
12-01 743
centos修复 远端WWW服务支持TRACE请求
Dubbo,Zookeeper,NSF,Druid,CouchDB未授权访问漏洞（附带修复方法）
最新发布
C233333235的博客
08-11 841
Dubbo是阿⾥巴巴公司开源的⼀个⾼性能优秀的 服务框架，使得应⽤可通过⾼性能的 RPC实现服务的输 出和输⼊功能，可以和 Spring框架⽆缝集成。dubbo 因配置不当导致未授权访问漏洞。
“远端www服务支持TRACE请求“漏洞
juan_php_user的博客
09-26 1540
采用拦截器来过滤所有的trace请求->启动类增加配置来实现，或者和内嵌式tomcat一样直接添加Jetty配置类来实现也可以。在服务器漏扫中经常遇到"远端www服务支持TRACE请求"漏洞，绿盟扫描器所提供修复建议有不适用的情况。对已经处理过的不同应用禁用TRACE请求做一总结记录。注:在tomcat的在server.xml中先允许TRACE请求，再在web.xml中禁用TRACE，以此禁用TRACE请求.注：可以在httpd.conf里搜索VirtualHost确定虚拟主机的配置文件。
远程WWW服务支持TRACE请求漏洞
huangbaokang的博客
04-30 3265
漏洞详细描述： 远端WWW服务支持TRACE请求。RFC 2616介绍了TRACE请求，该请求典型地用于测试HTTP协议实现。攻击者利用TRACE请求，结合其它浏览器端漏洞，有可能进行跨站脚本攻击，获取敏感信息，比如cookie中的认证信息，这些敏感信息将被用于其它类型的攻击。 解决办法 1、停止Apache服务（以root权限登录） # cd /opt/IBM/H...
远端WWW服务支持TRACE请求
绅士jiejie的博客
11-23 1052
远端WWW服务支持TRACE请求
常见主机漏洞及修复方案
热门推荐
Amdy_amdy的博客
09-20 2万+
1、openssh累积型漏洞  高  cve-2017-10012 修复意见： 升级版本至>=openssh-5.3p1-122.el6   2、NTP累积型漏洞  高 修复意见： 稳定版请尽快安装ntp-4.2.8p4及以后版本  开发版请尽快安装ntp-4.3.77及以后版本                                                  ...
常见主机漏洞
weixin_45849370的博客
11-07 4251
1、openssh累积型漏洞 高 cve-2017-10012 修复意见： 升级版本至>=openssh-5.3p1-122.el6 2、NTP累积型漏洞 高 修复意见： 稳定版请尽快安装ntp-4.2.8p4及以后版本 开发版请尽快安装ntp-4.3.77及以后版本 3、服务器支持 SSL Insecure Renegotiation (CVE-2009-3555)【原理扫描】 中...
红队系列-网络安全知识锦囊(持续更新)
aming小老弟
11-09 1211
AJP13是定向包协议。因为性能原因，使用二进制格式来传输可读性文本。AJP协议：WEB服务器通过TCP连接和SERVLET容器连接。为了减少进程生成socket的花费，WEB服务器和SERVLET容器之间尝试保持持久性的TCP连接，对多个请求/回复循环重用一个连接。一旦连接分配给一个特定的请求，在请求处理循环结束之前不会在分配。换句话说，在连接上，请求不是多元的。这个是连接两端的编码变得容易，虽然这导致在一时刻会有很多连接。
安全验证漏洞修复总结
11-17
安全验证漏洞修复总结 `
zookeeper 允许HTTP TRACE / TRACK方法 端口8080
m0_37541370的博客
04-29 953
进入zookeeper的bin目录下，在启动脚本zkServer.sh增加参数，查找nohup，在本行增加参数：-Dzookeeper.admin.enableServer=false。风险描述：远程Web服务器支持TRACE和/或TRACK方法。TRACE和TRACK是用于调试Web服务器连接的HTTP方法。风险影响：通过一个跨站追踪攻击窃取cookies和验证信任。*注：注意空格和双引号。
解决远端www服务支持TRACE请求的几种方式
qq_44691484的博客
05-31 8934
trace问题
漏洞修复 Zookeeper、MySQL、Elasticsearch
yuansheng730的博客
02-13 1682
zookeeper、MySQL、Elasticserch、http 相关漏洞修复
如何在Jetty中禁用Trace方法
qq_33479841的博客
11-18 4396
1.概述 在最近一次的服务器漏洞检测中，我们线上的某个服务检测出漏洞：远端www服务支持TRACE请求。由于服务是基于springboot开发，容器选择的是内置的Jetty，所以本文针对的是Jetty容器如何禁止接收HTTP TRACE请求。 2.解决方案 2.1 什么是Trace Trace请求是HTTP请求的一种，可以用来回显服务器收到的请求，主要用于测试或诊断。个人之前基本没关注过这个请求方法，只知道它是HTTP请求的一种。TRACE方法本用于客户端测试到服务器的网络通路，通过允许客户端知道请求链另
禁用zookeeper admin页面
smilehu2019的博客
11-21 1581
zookeeper的内嵌管理控制台是由jetty启动的，存在一定的信息泄露及安全隐患。
禁止远端WWW服务支持TRACE请求
AXW2013的专栏
03-18 1万+
TRACE_Method是HTTP（超文本传输）协议定义的一种协议调试方法，该方法会使服务器原样返回任意客户端请求的任何内容。TRACE和TRACK是用来调试web服务器连接的HTTP方式。支持该方式的服务器存在跨站脚本漏洞，通常在描述各种浏览器缺陷的时候，把"Cross-Site-Tracing"简称为XST。攻击者可以利用此漏洞欺骗合法用户并得到他们的私人信息。 解决办法：管理员应禁用WWW服...
zookeeper未授权漏洞修复
09-20
未授权访问是ZooKeeper的一个安全漏洞，可以通过以下方法修复该漏洞： 1. 修复办法一（推荐）：在ZooKeeper配置文件中启用ACL（访问控制列表），并配置正确的权限。ACL可以控制谁可以访问ZooKeeper节点和执行哪些操作。配置ACL后，只有经过授权的用户才能访问ZooKeeper节点。 2. 修复办法二：使用ZooKeeper提供的命令行工具或API，在ZooKeeper中为节点设置ACL。可以为节点设置不同级别的权限，例如只读、读写等。 3. 修复办法三（需要改程序）：在ZooKeeper客户端代码中添加认证信息，以确保连接到ZooKeeper服务器时进行身份验证。可以使用用户名和密码进行认证，或者使用其他认证机制如Kerberos。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值