ZooKeeper默認(rèn)開(kāi)啟在2181端口罢洲，在未進(jìn)行任何訪問(wèn)控制情況下饱普，攻擊者可通過(guò)執(zhí)行envi命令獲得系統(tǒng)大量的敏感信息孝常，包括系統(tǒng)名稱苟跪、Java環(huán)境廷痘。
0x00 ZooKeeper 安裝：
Zookeeper的默認(rèn)開(kāi)放端口是2181
wget https://mirrors.tuna.tsinghua.edu.cn/apache/zookeeper/zookeeper-3.4.10/zookeeper-3.4.10.tar.gz
tar -zxvf zookeepre-3.4.10.tar.gz
cd zookeeper-3.4.10/
cd conf/
vi zoo.cfg
### 配置單機(jī)模式
tickTime=2000
dataDir=/tmp/zookeeper/data
dataLogDir=/tmp/zookeeper/logs
clientPort=2181
bin/zkServer.sh start //啟動(dòng)
### 啟動(dòng)client連接server
bin/zkCli.sh -server localhost:2181
0x01 漏洞驗(yàn)證：
執(zhí)行以下命令即可遠(yuǎn)程獲取該服務(wù)器的環(huán)境：
echo envi|nc 192.168.15.74 2181
直接連接：
./zkCli.sh -server ip:port
其他攻擊獲取信息
stat：列出關(guān)于性能和連接的客戶端的統(tǒng)計(jì)信息蔓涧。
echo stat |ncat 127.0.0.1 2181
ruok：測(cè)試服務(wù)器是否運(yùn)行在非錯(cuò)誤狀態(tài)。
echo ruok |ncat 127.0.0.1 2181
reqs：列出未完成的請(qǐng)求笋额。
echo reqs |ncat 127.0.0.1 2181
envi：打印有關(guān)服務(wù)環(huán)境的詳細(xì)信息元暴。
echo envi |ncat 127.0.0.1 2181
dump：列出未完成的會(huì)話和臨時(shí)節(jié)點(diǎn)。
echo dump |ncat 127.0.0.1 2181
0x02 漏洞修復(fù)
禁止把Zookeeper直接暴露在公網(wǎng)
添加訪問(wèn)控制兄猩，根據(jù)情況選擇對(duì)應(yīng)方式（認(rèn)證用戶茉盏，用戶名密碼）
zookeeper有三個(gè)端口（可以修改），默認(rèn)端口作用：
1枢冤、2181：對(duì)cline端提供服務(wù)
2鸠姨、3888：選舉leader使用
3、2888：集群內(nèi)機(jī)器通訊使用（Leader監(jiān)聽(tīng)此端口）
修復(fù)辦法1 綁定指定IP訪問(wèn) (推薦)：
1淹真、登陸zookeeper
./zkCli.sh -server <IP>:<port>
2讶迁、查看當(dāng)前權(quán)限：
getAcl /
3、添加可訪問(wèn)IP
setAcl / ip:192.168.1.xx:cdrwa,ip:192.168.1.xx:cdrwa
4核蘸、查看是否正常添加
getAcl /
未授權(quán)也可以連接巍糯，但是查看節(jié)點(diǎn)時(shí)會(huì)報(bào)錯(cuò)"KeeperErrorCode = NoAuth for /"，localhost都不行客扎，必須填可訪問(wèn)IP祟峦，才能訪問(wèn)。
[zk: localhost:2181(CONNECTED) 0] ls /
KeeperErrorCode = NoAuth for /
[zk: localhost:2181(CONNECTED) 1]
回退辦法：
使用之前設(shè)置的IP進(jìn)行訪問(wèn)：
./zkCli.sh -server <IP>:<port>
設(shè)置為所有人可訪問(wèn)：
setAcl / world:anyone:cdrwa
修復(fù)辦法2 添加防火墻訪問(wèn)控制：
配置防火墻策略虐唠，只允許指定IP訪問(wèn)2181端口搀愧。
Linux 6：
iptables -I INPUT -p tcp --dport 2181 -j DROP
iptables -I INPUT -s 172.16.65.xx -p tcp --dport 2181 -j ACCEPT
iptables -I INPUT -s 172.16.65.xx -p tcp --dport 2181 -j ACCEPT
iptables -I INPUT -s 172.16.65.xx -p tcp --dport 2181 -j ACCEPT
service iptables save
service iptables restart
iptables -L
Linux 7:
firewall-cmd --zone=public --remove-port=2181/tcp --permanent
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.0.2.181" port protocol="tcp" port="2181" accept"
firewall-cmd --reload
firewall-cmd --list-all
修復(fù)辦法3 設(shè)置身份驗(yàn)證（需要改程序）：
為ZooKeeper配置相應(yīng)的訪問(wèn)權(quán)限。
1）增加一個(gè)認(rèn)證用戶
addauth digest 用戶名:密碼明文
addauth digest user1:password1
2）設(shè)置權(quán)限
setAcl /path auth:用戶名:密碼明文:權(quán)限
setAcl /path digest:用戶名:密碼密文:權(quán)限
setAcl /test auth:user1:password1:cdrwa
3）查看Acl設(shè)置
getAcl /path
0x03 參考鏈接：
ZooKeeper 未授權(quán)訪問(wèn)漏洞
Linux系統(tǒng)安全加固-ZooKeeper未授權(quán)訪問(wèn)漏洞處理
ZooKeeper未授權(quán)訪問(wèn)
