node-exporter被检测出来pprof调试信息泄露漏洞问题
更新时间：2024年04月12日 11:05:19 作者：Meepoljd
这篇文章主要介绍了node-exporter被检测出来pprof调试信息泄露漏洞问题,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教
说在前面
惯例开篇吐槽，有些仔仔习惯搞点自研的安全扫描工具，然后加点DIY元素，他也不管扫的准不准，就要给你报个高中危的漏洞，然后就要去修复，这次遇到个其他的就是node-exporter默认引入了pprof做一些性能指标的采集，然后仔仔的漏洞扫描工具就给你扫出来这么一条奇葩漏洞：
先不说处理方法，去github看了一圈，确实有人提了issue：
看到是中文我就大概知道这些仔仔可能是从同一个货源采购的安全扫描工具，对于这个问题官方在另一个issue中提了一下：
大概意思是开发者并没有发现pprof会泄漏啥信息，issue提出者使用的是gosec工具做的静态安全扫描，可能产生很多编译期间的误报，然后社区达成一致的结论是和prometheus社区保持一致，转而使用codeql工具。
解决方法
但是为了能过所谓的安全检查还是要处理这个事情，处理之前，打开http://{node-exporter-ip}:{port}/debug/pprof的访问链接会出现这样的内容；
原因也很简单，就是因为在node-exporter.go中引用了pprof包，我们要做的就是把引用删除，重新编译：
import ( "fmt" stdlog "log" "net/http" _ "net/http/pprof" // 删除这一行 "os" "os/user" "runtime" "sort" "github.com/prometheus/common/promlog" "github.com/prometheus/common/promlog/flag" "github.com/go-kit/log" "github.com/go-kit/log/level" "github.com/prometheus/client_golang/prometheus" promcollectors "github.com/prometheus/client_golang/prometheus/collectors" "github.com/prometheus/client_golang/prometheus/promhttp" "github.com/prometheus/common/version" "github.com/prometheus/exporter-toolkit/web" "github.com/prometheus/exporter-toolkit/web/kingpinflag" "github.com/prometheus/node_exporter/collector" kingpin "gopkg.in/alecthomas/kingpin.v2" )
把二进制包替换掉原来的，然后重启一下，再访问/debug/pprof就会直接跳到Metrics主页了：
结语
这种操作就是关闭了pprof性能指标的采集，适用于大部分版本的node-exporter，其他类似的go程序也可以这样进行操作。
以上为个人经验，希望能给大家一个参考，也希望大家多多支持脚本之家。
相关文章
这篇文章主要介绍了Go语言接口用法,实例分析了Go语言接口的功能、定义及使用技巧,需要的朋友可以参考下2015-02-02
viper是一个很完善的Go项目配置解决方案，很多著名的开源项目都在使用，比如Hugo,Docker都使用了该库，使用viper可以让我们专注于自己的项目代码，而不用自己写那些配置解析代码，本文给大家介绍Golang配置解析神器go viper使用，感兴趣的朋友一起看看吧2022-05-05
对象池是一种在编程中用于优化资源管理的技术,本文主要介绍了深入理解Go语言对象池,对象池通常通过sync.Pool包或自定义数据结构实现,下面就来介绍一下2024-01-01
Go语言提供了丰富的库和工具，可以方便地连接MySQL数据库。MySQL预处理是一种提高数据库操作效率和安全性的技术。Go语言中的第三方库提供了MySQL预处理的支持，通过使用预处理语句，可以避免SQL注入攻击，并且可以提高数据库操作的效率。2023-06-06
在Go语言中，iota是一个预定义的标识符，用于在常量声明中生成连续的递增值，iota的值从0开始，每次在常量声明中使用时递增，本就给大家讲解一下Golang中iota的使用案例，感兴趣的同学跟着小编一起来看看吧2023-07-07
这篇文章主要介绍了golang run时报undefined错误的解决方案,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教2024-03-03
这篇文章主要为大家介绍了golang metrics各个指标含义讲解说明，有需要的朋友可以借鉴参考下，希望能够有所帮助，祝大家多多进步，早日升职加薪2023-05-05
这篇文章主要介绍了关于Golang标准库flag的全面讲解，这个库的代码量只有1000行左右，却提供了非常完善的命令行参数解析功能，更多相关内容需要的朋友可以参考一下2022-09-09
Go语言变量类型包含基础类型和复合类型,类型断言一般是对基础类型的处理,本文主要介绍了Go语言断言和类型查询的实现,感兴趣的可以了解一下2024-01-01
这篇文章主要介绍了在goland中读取tpl文件的图文操作，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧2020-12-12
最新评论