influxdb 未授权访问

Posted 2021-12-18 ying-hack

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了influxdb 未授权访问相关的知识，希望对你有一定的参考价值。

influxdb简介

InfluxDB是一个由InfluxData开发的开源时序型数据。它由Go写成，着力于高性能地查询与存储时序型数据。InfluxDB被广泛应用于存储系统的监控数据，IoT行业的实时数据等场景。

InfluxDB < 1.7.6

influxdb是一个数据库,使用jwt认证方式。在用户开启了认证，但未设置参数shared-secret的情况下，jwt的认证密钥为空字符串，此时攻击者可以伪造任意用户身份在influxdb中执行SQL语句。

访问地址发现有X-Influxdb-Version，所以这个是Influxdb数据库

访问baseurl/debug/vars会有一些服务信息

发送查询语句会报401错误

我们借助https://jwt.io/来生成jwt token

然后就可以查询数据库

以上是关于influxdb 未授权访问的主要内容，如果未能解决你的问题，请参考以下文章