zookeeper未授权漏洞复现及处理_zk未授权访问-CSDN博客

本文链接：https://blog.csdn.net/kofterry/article/details/132987247

本文详细介绍了Zookeeper的未授权访问漏洞，包括漏洞详情、如何使用Java解决该问题，以及设置权限来增强安全性。同时，文章指出在创建Znode时设置权限可能仍存在漏洞，因为默认的几个关键znode具有世界权限，需要额外设置ACL以通过安全扫描。最后，建议禁用2181端口以进一步增强安全性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、漏洞详情

Zookeeper是一个分布式的，开放源码的分布式应用程序协调服务，是Google的Chubby一个开源的实现，是Hadoop和Hbase的重要组件。它是一个为分布式应用提供一致性服务的软件，提供的功能包括：配置维护、域名服务、分布式同步、组服务等。
Zookeeper的默认开放端口是2181。Zookeeper 安装部署之后默认情况下不需要任何身份验证，造成攻击者可以远程利用 Zookeeper，通过服务器收集敏感信息或者在 Zookeeper 集群内进行破坏（比如：kill命令）。攻击者能够执行所有只允许由管理员运行的命令。

二、使用Java解决zk的未授权访问漏洞

还是以digest为例：

//给密码加密
public String getDigestUserPswd(String idPassword) throws NoSuchAlgorithmException {
return DigestAuthenticationProvider.generateDigest(idPassword);
}
//获取ACL列表，这里只设置一个可访问用户,用户名为user，密码为pswd。如果你需要多个，继续add即可。
public List<ACL> getAclList() {
String idPassword = "user:pswd";
if (idPassword == null) {
logger.warn("no digest config,so use world scheme");
return ZooDefs.Ids.OPEN_ACL_UNSAFE;
}
List<ACL> aclList = new ArrayList<>();
try {
Id zkUser = new Id("digest", getDigestUserPswd(idPassword));
ACL acl = new ACL(ZooDefs.Per