node-exporter被检测出来pprof调试信息泄露漏洞问题
更新时间：2024年04月12日 11:05:19 作者：Meepoljd
这篇文章主要介绍了node-exporter被检测出来pprof调试信息泄露漏洞问题,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教
说在前面
惯例开篇吐槽，有些仔仔习惯搞点自研的安全扫描工具，然后加点DIY元素，他也不管扫的准不准，就要给你报个高中危的漏洞，然后就要去修复，这次遇到个其他的就是node-exporter默认引入了pprof做一些性能指标的采集，然后仔仔的漏洞扫描工具就给你扫出来这么一条奇葩漏洞：
先不说处理方法，去github看了一圈，确实有人提了issue：
看到是中文我就大概知道这些仔仔可能是从同一个货源采购的安全扫描工具，对于这个问题官方在另一个issue中提了一下：
大概意思是开发者并没有发现pprof会泄漏啥信息，issue提出者使用的是gosec工具做的静态安全扫描，可能产生很多编译期间的误报，然后社区达成一致的结论是和prometheus社区保持一致，转而使用codeql工具。
解决方法
但是为了能过所谓的安全检查还是要处理这个事情，处理之前，打开http://{node-exporter-ip}:{port}/debug/pprof的访问链接会出现这样的内容；
原因也很简单，就是因为在node-exporter.go中引用了pprof包，我们要做的就是把引用删除，重新编译：
import ( "fmt" stdlog "log" "net/http" _ "net/http/pprof" // 删除这一行 "os" "os/user" "runtime" "sort" "github.com/prometheus/common/promlog" "github.com/prometheus/common/promlog/flag" "github.com/go-kit/log" "github.com/go-kit/log/level" "github.com/prometheus/client_golang/prometheus" promcollectors "github.com/prometheus/client_golang/prometheus/collectors" "github.com/prometheus/client_golang/prometheus/promhttp" "github.com/prometheus/common/version" "github.com/prometheus/exporter-toolkit/web" "github.com/prometheus/exporter-toolkit/web/kingpinflag" "github.com/prometheus/node_exporter/collector" kingpin "gopkg.in/alecthomas/kingpin.v2" )
把二进制包替换掉原来的，然后重启一下，再访问/debug/pprof就会直接跳到Metrics主页了：
结语
这种操作就是关闭了pprof性能指标的采集，适用于大部分版本的node-exporter，其他类似的go程序也可以这样进行操作。
以上为个人经验，希望能给大家一个参考，也希望大家多多支持脚本之家。
相关文章
这篇文章主要为大家详细介绍了Golang实现内网穿透的相关知识,包括原理和代码实现,文中的示例代码讲解详细,有需要的小伙伴可以参考一下2024-11-11
定时器是任何编程语言的重要工具,它允许开发人员在特定时间间隔安排任务或执行代码,本文主要介绍了Go计时器的示例代码,具有一定的参考价值,感兴趣的可以了解一下2024-01-01
这篇文章主要给大家介绍了关于Go语言中TCP/IP网络编程的相关资料，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧2018-05-05
go mongox简洁高效文档操作及bson数据构造流畅技巧
这篇文章主要为大家介绍了go mongox简洁高效文档操作及bson数据构造流畅技巧示例详解,有需要的朋友可以借鉴参考下,希望能够有所帮助,祝大家多多进步,早日升职加薪2023-11-11
这篇文章主要为大家详细介绍了如何基于Go语言开发一个Markdown转HTML工具,文中的示例代码讲解详细,感兴趣的小伙伴可以跟随小编一起学习一下2025-09-09
这篇文章主要分享了Golang中使用JSON的一些小技巧，文中通过示例代码介绍的非常详细，对大家具有一定的参考学习价值，需要的朋友们下面来一起看看吧。2017-06-06
在游戏中,任务是非常常见的玩法,可能会有主线任务,支线任务以及其它一些类型的任务,当任务比较多的时候,它们的依赖关系将变得不直观,很容易出错,所以本文介绍了使用Go语言生成Excel任务表依赖图的代码实现,需要的朋友可以参考下2025-09-09
在 Go 语言开发中,大家为了方便,通常会选择使用 ORM 操作数据库,比如使用 XORM 或 GORM 操作 MySQL,本文我们来介绍一下使用 XORM[3] 操作 MySQL 可能会遇到的陷阱2023-11-11
这篇文章主要介绍了golang 比较浮点数的大小方式，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧2021-05-05
这篇文章主要介绍了详解Golang开启http服务的三种方式，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧2020-06-06
最新评论