漏洞简介以及危害 zookeeper是分布式协同管理工具，常用来管理系统配置信息，提供分布式协同服务。Zookeeper 的默认开放端口是2181。Zookeeper安装部署之后默认情况下不需要任何身份验证，造成攻击者可以远 程利用Zookeeper，通过服务器收集敏感信息或者在Zookeeper集群内进行破坏（比如：kill命令）。攻 击者能够执行所有只允许由管理员运行的命令。 漏洞利用 'application-type': 'YARN', } requests.post(url, json=data) 反弹成功 防御手段 -如无必要，关闭 Hadoop Web 管理页面。 -开启身份验证，防止未经授权用户访问。 -设置“安全组”访问控制策略，将 Hadoop 默认开放的多个端口对公网全部禁止或限制可信任的 IP 地址 才能访问包括 50070 以及 WebUI 等相关端口。 k- rce/docker-compose.yml docker-compose up -d New > Terminal 创建控制台 可以执行任意命令 防御手段 -开启身份验证，防止未经授权用户访问。 -访问控制策略，限制IP访问，绑定固定IP。 鸣谢 感谢网络中的分享者（师傅们），在我整理知识的时候给了我很大的一个帮助。

⽐如说： 为了防⽌⽹站内容被⽹络爬⾍抓取， ⽹站管理者通常会限制每个 IP 地址在固定时间段内能够访问的⻚⾯数 量 —— ⽐如⼀分钟之内最多只能访问 30 个⻚⾯ —— 超过这⼀限制的⽤户将被要求进⾏身份验证， 确认 本⼈并⾮⽹络爬⾍， ⼜或者等到限制解除了之后再进⾏访问。 为了防⽌⽤户的账号遭到暴⼒破解， ⽹上银⾏通常会对访客的密码试错次数进⾏限制， 如果⼀个访客在尝 试登录某个账号的过程中， 连续好⼏次输⼊了错误的密码， 在锁被占⽤期间， 如果某个不是持有者的客户端错误地调⽤了 release() ⽅法， 那么锁将在持有者不知情 的情况下释放， 并导致系统中同时存在多个锁。 为了解决这个问题， 我们需要修改锁实现， 给它加上身份验证功能： 客户端在尝试获取锁的时候， 除了需要输⼊锁的最⼤使⽤时限之外， 还需要输⼊⼀个代表身份的标识符， 当客户端成功取得锁时， 程序将把这个标识符储存在代表锁的字符串键⾥⾯。 当客户端调⽤ release() O(N)，其中 N 为被取消监视的键数量。 版本要求 UNWATCH 命 令 从 Redis 2.2.0 版 本 开 始 可 ⽤。 13.6 示例：带有身份验证功能的锁 在了解了乐观锁机制的使⽤⽅法之后， 现在是时候使⽤它来实现⼀个正确的带身份验证功能的锁了。 之前展示的锁实现的问题在于， 在 GET 命令执⾏之后直到 DEL 命令执⾏之前的这段时间⾥， 锁键的值有可能会 发⽣变化， 并出现误删锁键的情况。

Postgres Conference China 2016 中国用户大会 Redis Security--Authentication Redis提供了一个身份验证功能 Redis在配置文件中进行配置 客户端可以发送AUTH命令+密码来验证自己 Redis执行效率快，需要密码设置长 Redis客户端使用IP,PORT,PASSWORD访问