近來，公司系統(tǒng)做安全滲透又被掃描出了nacos漏洞問題。報(bào)告已對(duì)漏洞進(jìn)行了說明：
Nacos是一個(gè)為動(dòng)態(tài)服務(wù)發(fā)現(xiàn)和配置以及服務(wù)管理而設(shè)計(jì)的平臺(tái)。Nacos如果沒有配置認(rèn)證管理，攻擊者可以在無需授權(quán)的情況下獲取敏感信息。
公司系統(tǒng)使用版本為2.0.3。不支持進(jìn)行認(rèn)證管理，所以解決辦法就是升級(jí)nacos版本到2.0.4。需要注意，升級(jí)nacos版本外，還需要調(diào)整微服中的一些配置。
1 nacos 版本升級(jí)
1.1 nacos 2.0.4下載。
到nacos官網(wǎng)下載2.04版本。
1.2 解壓
下載后上傳至原來服務(wù)器，備份原有nacos。再停nacos服務(wù)。解壓到原有nacos路徑下，直接覆蓋原有版本。
1.3 配置文件修改
修改nacos_home/application.properties。
開啟權(quán)限認(rèn)證。
nacos.core.auth.enabled=true
1.4 nacos啟動(dòng)
啟動(dòng)nacos,在nacos/bin目錄下。
./ startup.sh
1.5 nacos升級(jí)驗(yàn)證
進(jìn)入nacos管理頁面。看到nacos已經(jīng)升級(jí)到2.0.4.
2 微服務(wù)升級(jí)
2.1 maven pom文件修改
將微服務(wù)中涉及nacos依賴同步進(jìn)行修改。
<spring-cloud.version>Greenwich.SR4</spring-cloud.version>
<alibaba-cloud.version>2.1.1.RELEASE</alibaba-cloud.version>
<spring-boot.version>2.1.10.RELEASE</spring-boot.version>
<dependency>
<groupId>com.alibaba.nacos</groupId>
<artifactId>nacos-client</artifactId>
<version>1.4.0</version>
</dependency>
修改為
<spring-cloud.version>Greenwich.SR6</spring-cloud.version>
<alibaba-cloud.version>2.1.4.RELEASE</alibaba-cloud.version>
<spring-boot.version>2.1.13.RELEASE</spring-boot.version>
<nacos-client.version>1.4.1</nacos-client.version>
<dependency>
<groupId>com.alibaba.nacos</groupId>
<artifactId>nacos-client</artifactId>
<version>${nacos-client.version}</version>
</dependency>
2.2 修改bootstrap.yml
在bootstrap.yml 中添加nacos用戶密碼。
config 和 discovery 新增，用于權(quán)限認(rèn)證的參數(shù)(用戶名和密碼和nacos登錄的用戶名密碼保持一致）：文章來源：http://www.zghlxwxcb.cn/news/detail-495031.html
username: nacos
password: nacos
group: DEFAULT_GROUP
2.3 重啟微服務(wù)
重啟涉及nacos配置相關(guān)的微服務(wù)文章來源地址http://www.zghlxwxcb.cn/news/detail-495031.html
到了這里，關(guān)于spring 微服務(wù)nacos未授權(quán)訪問漏洞修復(fù)的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
