[Проблемы] Исправление уязвимостей Nacos — обновление Nacos и устранение проблем с аутентификацией
Ниже приводится краткое описание и запись проблем, возникающих при работе с уязвимостями nacos. Проблемы с уязвимостями nacos заключаются в следующем:
- Обход аутентификации лазейки
- Затронутые версии: Nacos <= 2.0.0-ALPHA.1
- (Несанкционированный доступ из-за неправильного обращения с лазейкой User-Agent . Благодаря этому злоумышленник может выполнить любую операцию, включая создание новых пользователей и выполнение операций после входа в систему.
Планы исправления ситуации с НАКО следующие:
- Обновить версию Nacos
- Включить аутентификацию Nacos
первый шаг:
То есть для обновления версии nacos. Внутренний проект компании имеет версию nacos около 1.3. Непосредственно обновите сервер nacos до версии 2.0.0 или выше. В облаке компании имеется образ nacos 2.0.3. образ nacos 2.0.3.
Шаг второй:
После обновления версии сервера nacos вам все равно необходимо включить аутентификацию nacos. Ее можно включить несколькими способами, изменив файл конфигурации nacos. Проект компании включается через docker, поэтому метод рекомендован официальной документацией nacos. Включите его следующим образом:
- NACOS_AUTH_ENABLE, по умолчанию false, установлено значение true
- NACOS_AUTH_CACHE_ENABLE, по умолчанию false, установлено значение true
Обратите внимание на проблему здесь:
NACOS_AUTH_IDENTITY_KEY, NACOS_AUTH_IDENTITY_VALUE, эти две конфигурации имеют значения по умолчанию и не обязательно должны использоваться.
Шаг третий:
Затем получите доступ к этим адресам уязвимостей nacos, например:
ip:порт/nacos/v1/auth/users?username=test&password=test,Вы можете видеть, что он больше не доступен.,Это означает, что аутентификация успешно включена.
Шаг 4:
Если у nacos есть обновленная версия,Тогда у вас обязательно возникнет проблема,То есть клиент не может конвертировать Служить Зарегистрируйтесь, чтобыnacosПонятно（Несмотря на тона стороне клиентаФайл конфигурации настраивает пароль учетной записи.Все еще будетНевозможно зарегистрироваться в регистрационном центре）。
Моя модифицированная конфигурация:
Ошибка: неизвестный пользователь!
com.alibaba.nacos.api.exception.NacosException: <html><body><h1>Whitelabel Error Page</h1><p>This application has no explicit mapping for /error, so you are seeing this as a fallback.</p><div id='created'>Sat May 14 06:51:53 CST 2022</div><div>There was an unexpected error (type=Forbidden, status=403).</div><div>unknown user!</div></body></html>Причина: после обновления версии сервера nacos версия сервера nacos не соответствует версии jar-пакета nacos-client, в результате чего службу невозможно зарегистрировать в центре регистрации nacos.
Решение:
Позвольте мне сначала рассказать о подводных камнях, с которыми я столкнулся: Первое, о чем я подумал, это заменить все версии Springboot, Springcloudalibab и Springcloud, соответствующие nacos, на соответствующие версии. В результате я обнаружил, что проблема огромная, что приведет. ко многим проблемам в проекте, например Существует также проблема с feign, и версия feign не совпадает. Я сначала не нашел проблемы с feign. Я добавил @lazy lazy loading ко всем вызовам feign и нашел. что услуга была успешно зарегистрирована, но вызов на самом деле все еще вызывал проблемы.
Requested bean is currently in creation: Is there an unresolvab circular reference?Я почувствовал, что усложняю ситуацию, поэтому заглянул на официальный сайт и обнаружил, что была изменена только версия nacos-client, а все остальные версии Springboot, Springcloudalibab и Springcloud были восстановлены в исходное состояние.
Примечание. Информация в Интернете гласит.,Nacos-клиент версии 1.x может получить доступ к nacos-серверу версии 2.x.,ноNacos-клиент версии 2.x не может получить доступ к nacos-серверу 1.x。но。。。。。。。。。。。
Мой исходный сервер - 1.x, а клиент - 1.x, так что все должно быть нормально. Теперь мой сервер обновлен до 2.x. Судя по Интернету, моя 1.3.3 должна нормально зарегистрироваться. было неудовлетворительным, и было сообщено об ошибке.
com.alibaba.nacos.api.exception.NacosException: <html><body><h1>Whitelabel Error Page</h1><p>This application has no explicit mapping for /error, so you are seeing this as a fallback.</p><div id='created'>Sat May 14 06:51:53 CST 2022</div><div>There was an unexpected error (type=Forbidden, status=403).</div><div>unknown user!</div></body></html>
В конце концов, версия nacos-client также была обновлена до соответствующей версии nacos-server, 2.*.
Это официально рекомендуется.
Неразрушающее увеличение изображений одним щелчком мыши, чтобы сделать их более четкими артефактами искусственного интеллекта, включая руководства по установке и использованию.
Копикодер: этот инструмент отлично работает с Cursor, Bolt и V0! Предоставьте более качественные подсказки для разработки интерфейса (создание навигационного веб-сайта с использованием искусственного интеллекта).
Новый бесплатный RooCline превосходит Cline v3.1? ! Быстрее, умнее и лучше вилка Cline! (Независимое программирование AI, порог 0)
Разработав более 10 проектов с помощью Cursor, я собрал 10 примеров и 60 подсказок.
Я потратил 72 часа на изучение курсорных агентов, и вот неоспоримые факты, которыми я должен поделиться!
Идеальная интеграция Cursor и DeepSeek API
DeepSeek V3 снижает затраты на обучение больших моделей
Артефакт, увеличивающий количество очков: на основе улучшения характеристик препятствия малым целям Yolov8 (SEAM, MultiSEAM).
DeepSeek V3 раскручивался уже три дня. Сегодня я попробовал самопровозглашенную модель «ChatGPT».
Open Devin — инженер-программист искусственного интеллекта с открытым исходным кодом, который меньше программирует и больше создает.
Эксклюзивное оригинальное улучшение YOLOv8: собственная разработка SPPF | SPPF сочетается с воспринимаемой большой сверткой ядра UniRepLK, а свертка с большим ядром + без расширения улучшает восприимчивое поле
Популярное и подробное объяснение DeepSeek-V3: от его появления до преимуществ и сравнения с GPT-4o.
9 основных словесных инструкций по доработке академических работ с помощью ChatGPT, эффективных и практичных, которые стоит собрать
Вызовите deepseek в vscode для реализации программирования с помощью искусственного интеллекта.
Познакомьтесь с принципами сверточных нейронных сетей (CNN) в одной статье (суперподробно)
50,3 тыс. звезд! Immich: автономное решение для резервного копирования фотографий и видео, которое экономит деньги и избавляет от беспокойства.
Cloud Native｜Практика: установка Dashbaord для K8s, графика неплохая
Краткий обзор статьи — использование синтетических данных при обучении больших моделей и оптимизации производительности
MiniPerplx: новая поисковая система искусственного интеллекта с открытым исходным кодом, спонсируемая xAI и Vercel.
Конструкция сервиса Synology Drive сочетает проникновение в интрасеть и синхронизацию папок заметок Obsidian в облаке.
Центр конфигурации————Накос
Начинаем с нуля при разработке в облаке Copilot: начать разработку с минимальным использованием кода стало проще
[Серия Docker] Docker создает мультиплатформенные образы: практика архитектуры Arm64
Обновление новых возможностей coze | Я использовал coze для создания апплета помощника по исправлению домашних заданий по математике
Советы по развертыванию Nginx: практическое создание статических веб-сайтов на облачных серверах
Feiniu fnos использует Docker для развертывания личного блокнота Notepad
Сверточная нейронная сеть VGG реализует классификацию изображений Cifar10 — практический опыт Pytorch
Начало работы с EdgeonePages — новым недорогим решением для хостинга веб-сайтов
[Зона легкого облачного игрового сервера] Управление игровыми архивами
