influxdb 未授权访问
Posted 【码猿】
tags:
篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了influxdb 未授权访问相关的知识，希望对你有一定的参考价值。
influxdb 未授权访问
influxdb简介
InfluxDB是一个由InfluxData开发的开源时序型数据。它由Go写成，着力于高性能地查询与存储时序型数据。InfluxDB被广泛应用于存储系统的监控数据，IoT行业的实时数据等场景。
影响版本
InfluxDB < 1.7.6
漏洞简介
influxdb是一个数据库,使用jwt认证方式。在用户开启了认证，但未设置参数shared-secret的情况下，jwt的认证密钥为空字符串，此时攻击者可以伪造任意用户身份在influxdb中执行SQL语句。
漏洞复现
访问地址发现有X-Influxdb-Version，所以这个是Influxdb数据库
访问baseurl/debug/vars会有一些服务信息
发送查询语句会报401错误
我们借助https://jwt.io/来生成jwt token
然后就可以查询数据库
以上是关于influxdb 未授权访问的主要内容，如果未能解决你的问题，请参考以下文章