攻击者_influxdb未授权访问

篇首语：本文由编程笔记#小编为大家整理，主要介绍了influxdb 未授权访问相关的知识，希望对你有一定的参考价值。

InfluxDB是一个由InfluxData开发的开源时序型数据。它由Go写成&＃xff0c;着力于高性能地查询与存储时序型数据。InfluxDB被广泛应用于存储系统的监控数据&＃xff0c;IoT行业的实时数据等场景。

InfluxDB <1.7.6

influxdb是一个数据库,使用jwt认证方式。在用户开启了认证&＃xff0c;但未设置参数shared-secret的情况下&＃xff0c;jwt的认证密钥为空字符串&＃xff0c;此时攻击者可以伪造任意用户身份在influxdb中执行SQL语句。

访问地址发现有X-Influxdb-Version&＃xff0c;所以这个是Influxdb数据库

访问baseurl/debug/vars会有一些服务信息

发送查询语句会报401错误

我们借助https://jwt.io/来生成jwt token

然后就可以查询数据库