node-exporter被检测出来pprof调试信息泄露漏洞问题
更新时间：2024年04月12日 11:05:19 作者：Meepoljd
这篇文章主要介绍了node-exporter被检测出来pprof调试信息泄露漏洞问题,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教
说在前面
惯例开篇吐槽，有些仔仔习惯搞点自研的安全扫描工具，然后加点DIY元素，他也不管扫的准不准，就要给你报个高中危的漏洞，然后就要去修复，这次遇到个其他的就是node-exporter默认引入了pprof做一些性能指标的采集，然后仔仔的漏洞扫描工具就给你扫出来这么一条奇葩漏洞：
先不说处理方法，去github看了一圈，确实有人提了issue：
看到是中文我就大概知道这些仔仔可能是从同一个货源采购的安全扫描工具，对于这个问题官方在另一个issue中提了一下：
大概意思是开发者并没有发现pprof会泄漏啥信息，issue提出者使用的是gosec工具做的静态安全扫描，可能产生很多编译期间的误报，然后社区达成一致的结论是和prometheus社区保持一致，转而使用codeql工具。
解决方法
但是为了能过所谓的安全检查还是要处理这个事情，处理之前，打开http://{node-exporter-ip}:{port}/debug/pprof的访问链接会出现这样的内容；
原因也很简单，就是因为在node-exporter.go中引用了pprof包，我们要做的就是把引用删除，重新编译：
import ( "fmt" stdlog "log" "net/http" _ "net/http/pprof" // 删除这一行 "os" "os/user" "runtime" "sort" "github.com/prometheus/common/promlog" "github.com/prometheus/common/promlog/flag" "github.com/go-kit/log" "github.com/go-kit/log/level" "github.com/prometheus/client_golang/prometheus" promcollectors "github.com/prometheus/client_golang/prometheus/collectors" "github.com/prometheus/client_golang/prometheus/promhttp" "github.com/prometheus/common/version" "github.com/prometheus/exporter-toolkit/web" "github.com/prometheus/exporter-toolkit/web/kingpinflag" "github.com/prometheus/node_exporter/collector" kingpin "gopkg.in/alecthomas/kingpin.v2" )
把二进制包替换掉原来的，然后重启一下，再访问/debug/pprof就会直接跳到Metrics主页了：
结语
这种操作就是关闭了pprof性能指标的采集，适用于大部分版本的node-exporter，其他类似的go程序也可以这样进行操作。
以上为个人经验，希望能给大家一个参考，也希望大家多多支持脚本之家。
相关文章
这篇文章主要给大家介绍了利用Go语言搭建WebSocket服务端方法，文中通过示例代码介绍的非常详细，需要的朋友们可以参考借鉴，下面来一起看看吧。2017-04-04
golang bad file descriptor问题的解决方法
这篇文章主要给大家介绍了golang bad file descriptor问题的解决方法，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面来一起学习学习吧2019-02-02
这篇文章主要介绍了go语言基础语法示例，介绍了go语言较为全面的基础知识，具有一定参考价值，需要的可以了解下。2017-11-11
欢迎来到Golang语言中fs.ReadDir的全面指南！这个简短的引导将让你掌握如何高效地使用这个功能,一起来深入探索吧,保证你会有所收获！2023-12-12
这篇文章主要介绍了GOLang IO接口与工具使用方法，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习吧2023-03-03
这篇文章主要为大家介绍了简单易用的Go逗号comma ok模式使用详解,有需要的朋友可以借鉴参考下,希望能够有所帮助,祝大家多多进步,早日升职加薪2023-11-11
Go语言实现一个Http Server框架(一) http库的使用
本文主要介绍用Go语言实现一个Http Server框架中对http库的基本使用说明，文中有详细的代码示例，感兴趣的同学可以借鉴一下2023-04-04
这篇文章主要给大家介绍了关于golang如何操作csv文件的相关资料,以及使用Golang导出CSV数据并解决数据乱码问题的解决办法,文中通过示例代码介绍的非常详细,需要的朋友可以参考下2022-02-02
这篇文章主要给大家介绍了关于golang语法使用的一些注意事项,Golang是一种静态类型的编程语言,它支持基本的数据类型,包括整型、浮点型、布尔型、字符串型,需要的朋友可以参考下2023-07-07
这篇文章主要为大家介绍了GScript 编写标准库示例详解，有需要的朋友可以借鉴参考下，希望能够有所帮助，祝大家多多进步，早日升职加薪2022-10-10
最新评论