Nacos登录绕过漏洞：一场默认口令引发的登洞“裸奔”

别急着找什么“0day”，这次Nacos捅的录绕篓子，根子还是过漏那四个字——**默认口令**。2024年某云厂商的登洞攻防演练里，蓝队扫到公网一个Nacos控制台，录绕随手输入`nacos/nacos`，过漏回车。登洞进去了。录绕管理员页面赫然写着“该集群节点数：3”，过漏配置列表里躺着生产环境的登洞数据库连接串、Redis密码，录绕甚至还有一条写着“// TODO: 上线前删除”的过漏测试账号。整个流程不到十秒。登洞

这个漏洞的录绕官方编号是CVE-2021-29441，但真正让它“出圈”的过漏，是2023年爆出的绕过思路。攻击者压根不用猜密码，直接往`/v1/auth/users/login`接口POST一个伪造的`userAgent`，再带上个空密码，服务端某些版本就会傻乎乎地给你签发一个管理员token。原理不复杂：Nacos的鉴权模块在解析用户身份时，对“匿名用户”和“空凭证”的处理逻辑有分歧，导致权限校验被整体跳过。说白了，门锁是好的，但钥匙孔旁边开了扇没上锁的侧门。

我见过最离谱的利用场景，是在某甲方做渗透测试。对方IT主管信誓旦旦说“我们内网隔离，外网访问不到”，结果测试机一拨VPN，直接扫到他们测试环境的Nacos暴露在办公网段。登录进去，发现里面不光有配置，还存着某个老系统的JKS证书密钥库密码。顺着这个密码，我们摸到了那台老系统的后台，再翻翻文件上传功能，直接拿下一台内网服务器。整个链条里，Nacos只是个起点，但如果没有那个绕过漏洞，我们连门都进不去。

为什么这漏洞这么“香”？因为Nacos是阿里开源的注册中心和配置中心，几乎成了国内微服务架构的标配。企业上了Spring Cloud Alibaba，基本都会部署它。更致命的是，很多运维人员默认“内网部署=安全”，压根不设复杂口令，甚至保留初始的`nacos`账号。而攻击者只要在Shodan或Fofa上搜`title="Nacos"`，就能捞出一大片暴露在公网的控制台，再配合这个绕过漏洞，等于把配置中心的保险柜直接搬走。

修复方案其实不复杂。官方在1.4.2和2.2.0版本里修复了鉴权绕过，升级就行。但现实里总有公司因为“业务不能中断”、“升级要审批”之类的理由拖着。我就见过某金融科技公司，漏洞爆出来三个月后才想起升级，期间还被安全团队扫描发现异常登录日志。问起来，运维说“我们以为内网没人能打进来”。

说到底，这类漏洞考验的不是技术，是运维的基本功。别把“默认”当“安全”，也别把“内网”当“保险箱”。你永远不知道哪个犄角旮旯的测试环境，正对着公网敞开大门。下次部署Nacos，第一件事改密码，第二件事配置鉴权，第三件事——把那个“TODO”注释删了。

本文地址：http://www.79wt.cn/news/1031a9099806.html