目标主机存在hadoop未授权访问漏洞

凌晨两点，目标监控大屏弹出一条告警：某业务集群的主机NameNode 50070端口被外部IP扫描命中。我点开日志，授权发现对方只用了三条命令就拿到了HDFS的访问目录树——curl http://目标IP:50070/listPaths，连认证都没触发。漏洞这不是目标个例，过去三个月我参与过的主机渗透测试里，每五个Hadoop集群就有一个裸奔在公网上。授权

问题根源很简单：Hadoop默认配置里，访问NameNode和ResourceManager的漏洞Web UI不设防。管理员图省事，目标装完就忘，主机防火墙规则漏了8088端口。授权攻击者不需要密码，访问不需要漏洞利用工具，漏洞一个浏览器就能看到所有文件路径，甚至能直接下载核心业务数据。更狠的是，通过YARN的REST API，有人能提交一个恶意ApplicationMaster，间接在目标主机上执行任意命令——等于把root权限拱手让人。

我遇到过最典型的场景：某金融公司做大数据风控，Hadoop集群里存着用户交易特征向量。扫描发现他们的8088端口对全网开放，我试着提交了一个sleep命令的Application，三秒后目标机器返回了执行结果。那台机器还连着内网Kafka，理论上能顺着网线摸到所有实时交易流。对方安全负责人事后解释，他们以为Hadoop只在内网用，就没改默认配置——结果边界防火墙的端口映射规则里，赫然写着“*:8088->内网IP”。

这种漏洞的可怕之处在于，它不依赖任何复杂的攻击链。你不需要绕过WAF，不需要猜密码，甚至不需要知道目标系统版本。攻击路径是平的：探测开放端口，访问Web界面，调用API，完成。很多管理员觉得“未授权访问”是个低危问题，但放在Hadoop这种分布式存储和计算平台上，它就是数据泄露的直通车。

修复方法其实不费劲。第一，给NameNode和ResourceManager的Web界面加上Kerberos或LDAP认证，禁用默认的“simple”认证模式。第二，用安全组或iptables把50070、8088、9000这些端口限制在内网范围，公网一律不放行。第三，如果业务确实需要远程访问，就套一层VPN或跳板机，别直接暴露。我见过有人用nginx反代加Basic Auth，虽然粗糙，但至少挡住了脚本扫描。

最后说个让人后背发凉的细节。某次攻防演练，我通过未授权的Hadoop接口拉取了某个数据湖的元数据，发现里面有个表名叫“user_phone_bind_log”。那一刻才意识到，漏洞本身不复杂，复杂的是它背后暴露的运维惯性——默认配置、边界混乱、权限松懈。这些东西不修，今天扫到的是Hadoop，明天可能就是Kafka、Elasticsearch或者Flink。安全不是装个杀毒软件就完事，是把每个暴露面都当成可能的突破口来对待。