Elasticsearch安全漏洞检测与修复指南

备注：本文重在检测合修复，适合甲方人员查阅

漏洞简介

Elasticsearch使用JAVA语言开发并作为Apache许可条款下的开放源码发布，它是当前流行的企业级搜索引擎，其增删改查操作全部由HTTP接口完成，如果Elasticsearch服务直接披露在公网环境中且未对服务访问端口(默认;9200)进行认证配置(Elasticsearch授权模块需要付费，所以免费开源的Elasticsearch可能存在未授权访问漏洞)，则攻击者可以拥有Elasticsearch的所有权限，之后对数据进行任意操作，业务系统将面临敏感数据泄露、数据丢失、数据遭到破坏甚至遭到攻击者的勒索。

漏洞成因

Elasticsearch未授权访问漏洞的成因主要有以下几个方面：

• Elasticsearch服务披露在公网且允许远程访问
• Elasticsearch服务端口(默认:9200)未设置认证

漏洞利用 

环境介绍

• 目标靶机：Ubuntu
• 目标地址：192.168.17.154

环境搭建

Step 1：JDK版本1.8+

Step 2：创建一个elasticsearch用户，elasticsearch不能root执行

useradd al1ex
passwd al1ex
su al1ex

Step  3：下载环境并进行安装

#下载安装包
wget https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-7.10.0-linux-x86_64.tar.gz

#解压安装包
tar -xzf elasticsearch-7.10.0-linux-x86_64.tar.gz

Step 4：编辑elasticsearch-7.10.0/config/elasticsearch.yml，修改以下内容

a、编辑node.name 名称

b、数据存储和日志存储路径放开注释

path.data: /home/r00t/elasticsearch-7.10.0/data
path.logs: /home/r00t/elasticsearch-7.10.0/logs

c、设置IP限制、端口设置、跨越设置

network.host: 0.0.0.0
http.port: 9200
http.cors.enabled: true
http.cors.allow-origin: "*"

d、设置启动服务器的标识符

cluster.initial_master_nodes: ["node-1"]

Step  5、修改al1ex用户的可创建文件描述权限，使用命令”vim /etc/security/limits.conf”编辑文件，在最后面追加如下内容：

* hard nofile 65536
* soft nofile 65536

Step 6：通过命令”vim /etc/sysctl.conf’修改用户可以拥有的VMA的数量，在最后面追加如下内容

#fs.protected_symlinks=0
vm.max_map_count=655360

Step 7：设置文件权限

chown -R al1ex /home/r00t/elasticsearch-7.10.0/

Step  9：使用al1ex用户启动服务并访问

./elasticsearch-7.10.0/bin/elasticsearch -d

漏洞检测

检测方式1：浏览器访问

#基本检测
http://192.168.17.154:9200/

#查看节点数据
http://192.168.17.154:9200/_nodes

修复方法

编辑config/elasticsearch.yml文件，在其中为9200端口设置认证

#开启开关接管全部HTTP连接
http.basic.enabled: true
    
#设置账号密码
http.basic.user: "admin"
http.basic.password: "admin_pw"
    
#开启白名单
http.basic.ipwhitelist: ["localhost", "127.0.0.1"]

之后再次访问可以看到无法访问：

白名单地址可访问，但是笔者这里未安装plugin所以也会报错，有条件企业的可以试试安装plugin试试