node-exporter被检测出来pprof调试信息泄露漏洞问题
更新时间：2024年04月12日 11:05:19 作者：Meepoljd
这篇文章主要介绍了node-exporter被检测出来pprof调试信息泄露漏洞问题,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教
说在前面
惯例开篇吐槽，有些仔仔习惯搞点自研的安全扫描工具，然后加点DIY元素，他也不管扫的准不准，就要给你报个高中危的漏洞，然后就要去修复，这次遇到个其他的就是node-exporter默认引入了pprof做一些性能指标的采集，然后仔仔的漏洞扫描工具就给你扫出来这么一条奇葩漏洞：
先不说处理方法，去github看了一圈，确实有人提了issue：
看到是中文我就大概知道这些仔仔可能是从同一个货源采购的安全扫描工具，对于这个问题官方在另一个issue中提了一下：
大概意思是开发者并没有发现pprof会泄漏啥信息，issue提出者使用的是gosec工具做的静态安全扫描，可能产生很多编译期间的误报，然后社区达成一致的结论是和prometheus社区保持一致，转而使用codeql工具。
解决方法
但是为了能过所谓的安全检查还是要处理这个事情，处理之前，打开http://{node-exporter-ip}:{port}/debug/pprof的访问链接会出现这样的内容；
原因也很简单，就是因为在node-exporter.go中引用了pprof包，我们要做的就是把引用删除，重新编译：
import ( "fmt" stdlog "log" "net/http" _ "net/http/pprof" // 删除这一行 "os" "os/user" "runtime" "sort" "github.com/prometheus/common/promlog" "github.com/prometheus/common/promlog/flag" "github.com/go-kit/log" "github.com/go-kit/log/level" "github.com/prometheus/client_golang/prometheus" promcollectors "github.com/prometheus/client_golang/prometheus/collectors" "github.com/prometheus/client_golang/prometheus/promhttp" "github.com/prometheus/common/version" "github.com/prometheus/exporter-toolkit/web" "github.com/prometheus/exporter-toolkit/web/kingpinflag" "github.com/prometheus/node_exporter/collector" kingpin "gopkg.in/alecthomas/kingpin.v2" )
把二进制包替换掉原来的，然后重启一下，再访问/debug/pprof就会直接跳到Metrics主页了：
结语
这种操作就是关闭了pprof性能指标的采集，适用于大部分版本的node-exporter，其他类似的go程序也可以这样进行操作。
以上为个人经验，希望能给大家一个参考，也希望大家多多支持脚本之家。
相关文章
Go 语言json.Unmarshal 遇到的小问题(推荐)
这篇文章主要介绍了 Go 语言json.Unmarshal 遇到的小问题，本文给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值,需要的朋友可以参考下2020-07-07
本文详细介绍了Go语言中strings包的基本使用方法,包括字符串的前缀、后缀判断,字符串包含、索引查找、字符串替换、计数、重复、大小写转换、修剪、分割、拼接以及数据类型转换等功能,示例代码丰富,适合初学者和需要使用字符串处理功能的开发者参考学习2024-10-10
这篇文章主要介绍了Go语言文件操作的方法,涉及文件的读写及关闭等操作技巧,具有一定参考借鉴价值,需要的朋友可以参考下2015-02-02
goroutine是Go语言提供的语言级别的轻量级线程，在我们需要使用并发时，我们只需要通过go关键字来开启goroutine即可。这篇文章主要介绍了GoLang并发机制goroutine原理，感兴趣的可以了解一下2023-01-01
这篇文章主要为大家介绍了go doudou开发单体RESTful服务快速上手教程，有需要的朋友可以借鉴参考下，希望能够有所帮助，祝大家多多进步，早日升职加薪2022-12-12
这篇文章主要介绍了go mod包拉不下来的问题及解决方案,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教2023-09-09
这篇文章主要介绍了使用go在mangodb中进行CRUD操作，本文给大家介绍的非常详细，具有一定的参考借鉴价值,需要的朋友可以参考下2019-10-10
这篇文章主要介绍了golang如何去除字符串的换行符问题,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教2024-07-07
这篇文章主要为大家介绍了go micro微服务proto开发中安装Protobuf及基本规范字段的规则详解，有需要的朋友可以借鉴参考下，希望能够有所帮助，祝大家多多进步，早日升职加薪2023-01-01
web项目，经常需要热启动各种各样的配置信息，一旦这些服务发生变更，我们需要重新启动web server，以使配置生效，实现配置热加载，本文为大家整理了几个方法实现这个需求，需要的可以参考下2023-05-05
最新评论