运维安全案例（运维项目案例）

运维安全案例（运维项目案例）

前面我们讨论了很多运维安全陋习和问题分类，下面要讲的，则是大家再熟悉不过的几个案例，且看运维安全漏洞如何“性价比”极高。

svn

部署web代码时误将.svn目录上传使用rsync上传代码时没有exclude掉 .svn目录，svn仓库也没有使用svn propedit svn:ignore <目录或文件>的方式ignore掉不应当上传的文件或目录。者利用svn信息泄露利用工具Svn-Tool或者svn-extractor还原代码

rsync

rsync使用root用户启动，模块没有配置认证，还对外开放默认端口873者利用rsync写crontab任务成功反弹shell，并种上了挖矿

redis

redis使用root用户启动，没有配置认证，还对外开放默认端口6379者利用redis写ssh公钥到root用户的.ssh目录成功登上机器一般部署redis的机器都有内网ip，者可借此进行内网漫游了

kubernetes

k8s的api对外开放，同时未开启认证者调用api创建容器，将容器文件系统根目录挂载在宿主根目录， 者利用写crontab任务成功反弹shell，并在宿主种上了挖矿有时候容器里跑着未编译的代码或者在沦陷的机器上可以拉到私有docker镜像仓库的任意镜像，后果将难以想象，如下面k8s的api，调用起来则非常简单。

那么，如何做好运维安全？中医有句话叫对症下药。我们花大篇幅去剖析问题所在，想必也是从问题入手，通过纠正或者培养良好的运维安全习惯，结合完整的运维安全技术体系，才是问题的出路。

版权声明：本文内容由网络用户投稿，版权归原作者所有，本站不拥有其著作权，亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容，请联系我们jiasou666@gmail.com 处理，核实后本网站将在24小时内删除侵权内容。