nacos安全测评毛病：nacos未授权访问毛病【原理扫描】

一、题目复现

毛病具体信息：

毛病分析：

nacos目前利用的版本为v2.0.3，后台管理界面虽然有账号密码的登录验证，但是服务注册和读取配置没有认证配置。
二、毛病修复

升级nacos版本：

截止发文时间，官网最新版本为v2.3.2。
对比v2.0.3，表结构不一样，沿用原来的库nacos启动不起来，需要下载对应版本的初始化sql脚本：
先下载源码包，下载地点：Release 2.3.2 (Apr 3rd, 2024) · alibaba/nacos · GitHub
找到nacos-server-2.3.2.zip，解压后在nacos/conf下找到mysql-schema.sql这个脚本文件
对比发现表结构相对v2.0.3多了一个字段“encrypted_data_key”
开启认证配置：

我利用的是docker部署方式，要开启认证需要添加以下情况变量：
        NACOS_AUTH_ENABLE   true
        NACOS_AUTH_TOKEN    SecretKey012345678901234567890123456789012345678901234567890123456789
        NACOS_AUTH_IDENTITY_KEY     authKey
        NACOS_AUTH_IDENTITY_VALUE   nacosSecurty
对应到application.properties配置文件中的配置：

1. nacos.core.auth.enabled=true
2. nacos.core.auth.plugin.nacos.token.secret.key=SecretKey012345678901234567890123456789012345678901234567890123456789
3. nacos.core.auth.server.identity.key=authKey
4. nacos.core.auth.server.identity.value=nacosSecurty

复制代码

服务注册认证：

应用增加如下属性配置：

1.         spring:
2.           cloud:
3.             nacos:
4.               username: nacos
5.               password: nacos

复制代码

username和password即为后台登录的账号密码

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。