ElasticSearch未授权访问

最新推荐文章于 2025-07-03 10:17:35 发布

Shannonnnn

最新推荐文章于 2025-07-03 10:17:35 发布

阅读量7.6k

点赞数 3

CC 4.0 BY-SA版权

分类专栏：安全

本文链接：https://blog.youkuaiyun.com/github_37216944/article/details/80515840

本文介绍了ElasticSearch未授权访问的安全问题，包括漏洞描述、可能的利用URL，以及提供了一系列修复建议，如设置防火墙、使用Nginx反向代理和限制IP访问等。此外，列举了历史上相关漏洞事件，并详细讨论了CVE-2015-1427的Groovy RCE漏洞，给出了POST请求示例。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

0x00 漏洞描述：

Elasticsearch是一款java编写的企业级搜索服务。越来越多的公司使用ELK作为日志分析，启动此服务默认会开放9200端口，可被非法操作数据

0x01 一些利用的URL

http://101.198.161.130:9200/_cat/indices/
http://101.198.161.130:9200/_plugin/head/
http://101.198.161.130:9200/_nodes
http://101.198.161.130:9200/_nodes?prettify
http://101.198.161.130:9200/_status
http://101.198.161.130:9200/_search?pretty
http://10.203.9.131:9200/zjftu/
http://10.203.9.131:9200/zjftu/_search?pretty

0x02 修复建议：

1、防火墙上设置禁止外网访问9200端口。
2、使用Nginx搭建反向代理，通过配置Nginx实现对Elasticsearch的认证
3、限制IP访问，绑定固定IP
4、在config/elasticsearch.yml中为9200端口设置认证：

    http.basic.enabled true #开关，开启会接管全部HTTP连接
    http.basic.user "admin" #账号
    http.basic.password "admin_pw" #密码
    http.basic.ipwhitelist ["localhost", "127.0.0.1"]