文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

Hadoop Yarn REST API未授权漏洞利用挖矿分析

一、背景情况 5月5日腾讯云安全曾针对攻击者利用Hadoop Yarn资源管理系统REST API未授权漏洞对服务器进行攻击，攻击者可以在未授权的情况下远程执行代码的安全问题进行预警，在预警的前后我们曾多次捕获相关的攻击案例...YARN提供有默认开放在8088和8090的REST API（默认前者）允许用户直接通过API进行相关的应用创建、任务提交执行等操作，如果配置不当，REST API将会开放在公网导致未授权访问的问题，那么任何黑客则就均可利用其进行远程命令执行...更多漏洞详情可以参考 http://bbs.qcloud.com/thread-50090-1-1.html 三、入侵分析 在本次分析的案例中，受害机器部署有Hadoop YARN，并且存在未授权访问的安全问题...，黑客直接利用开放在8088的REST API提交执行命令，来实现在服务器内下载执行.sh脚本，从而再进一步下载启动挖矿程序达到挖矿的目的。...为wget -q -O -或者curl，任务每分钟执行一次。

5K60
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    使用 Livy Rest API 提交 spark 批量任务 （jar，Python， streaming）

    Livy是一个开源的REST 接口，用于与Spark进行交互，它同时支持提交执行代码段和完整的程序。 ? image.png Livy封装了spark-submit并支持远端执行。...提交jar包 首先我们列出当前正在执行的任务： curl localhost:8998/sessions | python -m json.tool % Total % Received % Xferd...directory /tmp/spark-6e362908-465a-4c67-baa1-3dcf2d91449c" ], "state": "success" } 此外，还可以通过下面的api...，可以调用以下API： curl -X DELETE localhost:8998/batches/1 {"msg":"deleted"} 当重复调用上述接口时，什么也不会做，因为任务已经删除了： curl...-X DELETE localhost:8998/batches/1 session not found 提交Python任务 提交Python任务和Jar包类似： curl -X POST --data

    3.5K30

    5个REST API安全准则

    cookie或内容参数发送，以确保特权集合或操作得到正确保护，防止未经授权的使用。...401未授权 -错误或没有提供任何authencation ID /密码。 403禁止 -当身份验证成功，但身份验证的用户没有权限使用请求的资源。 404未找到 -当请求一个不存在的资源。...429太多的请求 -可能存在的DOS攻击检测或由于速率限制的请求被拒绝 （1）401和403 401“未授权”的真正含义未经身份验证的，“需要有效凭据才能作出回应。”...403“禁止”的真正含义未经授权，“我明白您的凭据，但很抱歉，你是不允许的！” 概要 在这篇文章中，介绍了5个RESTful API安全问题和如何解决这些问题的指南。...遵循这些准则将导致更安全和高质量的REST API服务和更多的开发人员友好的REST API。

    5K10

    如何快速创建一个拥有异步任务队列集群的 REST API

    异步任务是 Web 后端开发中最常见的需求，非常适合多任务、高并发的场景。...本文分享如何使用 docker-compose、FastAPI、rq 来快速创建一个包含异步任务队列集群的 REST API，后端执行任务的节点可以随意扩展。...用户请求 api， api 将任务放入 redis 队列，worker 自动去 redis 队列取出任务并执行，worker 节点可以任意水平扩展。...API、Worker REST 是一种风格，这里不是重点，我们使用 FastAPI 来快速创建一个接口，新建一个 api.py 的文件，内容如下： from fastapi import FastAPI...最后的话 本文分享了如何使用 Dockerfile 构建一个镜像，使用 Docker Compose 管理一个容器集群，以此为基础实现了一个具有异步任务队列集群的 REST API，抛砖引玉，关于 Dockerfile

    2.4K30

    Django REST Framework-权限

    Django REST Framework（DRF）为开发人员提供了一种灵活的权限系统，该系统可让您轻松地在API中管理和保护敏感数据。...IsAuthenticated IsAuthenticated是指要求用户已通过身份验证才能访问API视图。如果用户未经过身份验证，则DRF将返回一个HTTP 401 Unauthorized响应。...该权限非常适合用于管理API，例如用户管理或其他管理任务。...如果用户未经过身份验证，则只允许读取数据。这是一种比较常见的权限类型，适用于需要保护数据但允许读取的情况。...如果未通过身份验证，DRF将返回一个HTTP 401 Unauthorized响应。在get方法中，我们还演示了如何使用request对象获取已通过身份验证的用户和凭据。

    1K20

    CVE-2025-61757高级检测与利用验证脚本

    此脚本专门用于在授权测试环境中检测Oracle OIM系统是否受到该漏洞的影响。...核心功能特性预认证漏洞检测：无需任何身份验证即可测试目标系统多端点模糊测试：同时测试多个REST API端点（/identity/rest/v1/users, /identity/rest/v1/admin...API端点 self.endpoints = [ '/identity/rest/v1/users', # 用户创建和枚举 '/identity...，仅在您拥有或控制权的系统上运行未经授权使用是非法的仅在隔离的实验室环境中使用 - 未经许可切勿在生产环境中使用如果发现漏洞，请立即打补丁！...API的访问对应用程序进行分段或防火墙保护如果不需要，禁用REST WebServices监控日志中的异常API行为6HFtX5dABrKlqXeO5PUv/ydjQZDJ7Ct83xG1NG8fcAMrhU5MAd8e2t0IfbZqn6jM

    9410

    8.寻光集后台管理系统-用户管理(增删改查)

    未经身份验证的请求应该具有完全只读访问权限。 身份验证 身份验证是将传入请求与一组识别凭证相关联的机制，例如请求携带的用户名密码，签名令牌等。...权限用于授予或拒绝不同类别的用户访问 API 的不同部分。 最简单的权限样式是允许任何经过身份验证的用户访问，而拒绝任何未经身份验证的用户访问。 如何确定权限 DRF中权限始终定义为权限列表。...一个HTTP 401未经授权的响应，将返回一个适当的WWW-Authenticate报头。 设置权限策略 可以使用设置全局设置默认权限策略DEFAULT_PERMISSION_CLASSES。例如。...] 或者使用基于装饰器@api_view的函数视图 from rest_framework.decorators import api_view, permission_classes from rest_framework.permissions...REST framework已经实现了分页api。它支持： 将分页的链接作为响应内容的一部分，这是默认的方案。 响应头中包含分页链接，如Content-Range或Link。

    2.4K30

    9月重点关注这些API漏洞

    Hadoop Yarn资源管理系统REST API未授权访问漏洞漏洞详情：Hadoop是一款由Apache基金会推出的分布式系统框架，它通过著名的 MapReduce 算法进行分布式处理，Yarn是Hadoop...此次事件主要因Hadoop YARN 资源管理系统配置不当，导致可以未经授权进行访问，从而被攻击者恶意利用。攻击者无需认证即可通过REST API部署任务来执行任意指令，最终完全控制服务器。...攻击者可以向Yarn的ResourceManager（资源管理器）组件发送未认证的REST API请求，利用此漏洞操纵集群资源和运行作业，可能导致敏感数据泄露，如用户凭据、Hadoop 集群的配置信息等...• 配置合适的防火墙规则以阻止未经授权的外部访问Hadoop Yarn集群和REST API接口。...• 密钥和凭据管理：审查和管理项目中的API密钥和凭证，确保合理的授权和访问控制策略。密钥不应该泄露给未经授权的人员。

    1.2K10

    Django Rest Framework-介绍

    什么是RESTful REST与技术无关，代表的是一种软件架构风格，REST是Representational State Transfer的简称，中文翻译为“表征状态转移” REST从资源的角度类审视整个网络...区别与其他架构风格的最本质属性 对于REST这种面向资源的架构风格，有人提出一种全新的结构理念，即：面向资源架构（ROA：Resource Oriented Architecture） Django...REST framework特性 直观的 API web 界面 多种身份认证和权限认证方式的支持 内置了 OAuth1 和 OAuth2 的支持 内置了限流系统 根据 Django ORM 或者其它库自动序列化...202 Accepted - [*]：表示一个请求已经进入后台排队（异步任务） 204 NO CONTENT - [DELETE]：用户删除数据成功。...401 Unauthorized - [*]：表示用户没有权限（令牌、用户名、密码错误）。 403 Forbidden - [*] 表示用户得到授权（与401错误相对），但是访问是被禁止的。

    2.1K40

    快试试用API Key来保护你的SpringBoot接口安全吧~

    mall学习教程官网：macrozheng.com 1、概述 安全性在REST API开发中扮演着重要的角色。一个不安全的REST API可以直接访问到后台系统中的敏感数据。...API Security Spring Security可以用来保护REST API的安全性。...OAuth2 OAuth2是REST API安全的行业标准。它是一种开放的认证和授权标准，允许资源所有者通过访问令牌将授权委托给客户端，以获得对私有数据的访问权限。 2.3....API Keys 一些REST API使用API密钥进行身份验证。API密钥是一个标记，用于向API客户端标识API，而无需引用实际用户。标记可以作为查询字符串或在请求头中发送。...测试 我们先不提供API Key进行测试 curl --location --request GET 'http://localhost:8080/home' 返回 401 未经授权错误。

    1.7K40

    Windows 商店应用中使用 Office 365 API Tools

    值得庆幸的是我们还有另外一套神器：SharePoint REST API （REST API reference and samples）。...SharePoint为我们提供了一套标准的 REST API，利用它我们可以通过网络请求的方式来读取和更新数据。读取数据还算简单，只需要拼接 API 地址和解析 json / XML 数据就可以了。...（关于 REST API 的使用，我会在随后的文章中介绍，这里只是让大家感受一下使用的感受。）所以相对以对象模型，我们需要做的工作也多了不少。...Getting an access token for Office 365 在授权使用 Discovery Service 时，我们的代码可以使用从Azure AD 中返回的 token，这个 token...下一篇我们将对前面提到的 SharePoint 2013 REST API 做出详细介绍，谢谢！

    4.6K100

    CVE-2025-61757 检测工具：Oracle身份管理器预授权RCE漏洞扫描器

    功能特性 预授权检测 — 无需任何认证信息，直接对目标进行漏洞探测⚡ 多线程并发扫描 — 同时对多个REST端点进行模糊测试，大幅提升检测效率 智能Payload注入 — 基于公开研究的;分号注入技术，...Endpoint: /identity/rest/v1/users, Payload: test; whoami发现漏洞 — 目标存在预授权RCECRITICALFull chain possible!...或 401 核心代码漏洞检测引擎核心类class CVE202561757Tester: """ CVE-2025-61757 漏洞检测器核心类 实现预授权命令注入检测与权限提升链验证...]) ): return True, resp.text[:200] # 返回部分响应内容供分析 elif resp.status_code == 401...在未经授权的系统上使用此工具进行探测属于违法行为。请在您拥有所有权或已获得明确书面授权的系统上使用。

    13410

    什么是RESTful，REST api设计时应该遵守什么样的规则？

    如何使用REST API？HTTP 动词REST API 通过各种 HTTP 请求方法，使前端与服务器的通信过程更容易，最常用的方法是：GET : 用于读取服务器上的数据。POST : 用于创建数据。...limit=106、使用连字符增加可读性最好用连字符-，而不是_或者驼峰，在所有 RESTful API 中，连字符等同于空格。...200：成功的请求，通常是 GET201：创建后请求成功，通常是 POST204：请求成功，没有返回内容，通常是 PUT 或 PATCH301：永久重定向到另一个端点400：错误请求（客户端应修改请求）401...：未经授权，凭据无法识别403：禁止，凭据接受但没有权限404：未找到，资源不存在410：消失了，资源以前存在但现在不存在429：请求过多，用于速率限制，应包含重试标头500：服务器错误，一般性，值得查看其他...500 级错误503：服务不可用，另一个重试标头有用总结REST是一种软件架构风格，用于 Web 架构的设计，任何遵循 REST 设计原则的 API都被称为 RESTful，在开发初期，开发者需要花费大量的时间去设计接口

    1.5K30

    Outlook紧急安全防护：全面解析CVE-2023–23397权限提升漏洞及其防御策略

    尽管已经过去了几周，我们仍然敦促所有Outlook用户保护你的Outlook免受CVE-2023–23397的攻击；成功利用此漏洞可能导致通过触发Net-NTLMv2哈希泄露来未经授权访问组织环境。...CVE-2023–23397是一个极其严重的Outlook漏洞，允许大规模窃取密码哈希并未经授权访问企业资源。其无需用户交互即可自动化利用的易用性使其成为一个危险的漏洞，企业需要立即修补。...点击或按回车键查看全尺寸图片CVE-2023–23397的实际利用——威胁行为者试图未经授权访问Exchange服务器并修改邮箱文件夹权限（来源：微软）进一步令人担忧的入侵后活动涉及使用Exchange...Web Services API枚举和修改用户邮箱文件夹的权限。...审查用户报告的任何可疑消息、任务或日历邀请，并分析是否存在利用迹象。

    8710

    Restful API设计规范

    更重要的是，由于http是事实上的互联网通讯标准协议，基于rest设计的api接口，就好像你出国用英语和别人交流，完全不存在沟通障碍。...REST架构，从个人角度理解，核心做了两件事情 资源定位 资源操作 其实从REST的定义中就能看出来，表述层对应的就是描述资源的位置（资源定位），状态转移就是对资源的状态进行变更操作（增删改查） 下面举个实际的例子...除了HTTP METHOD,rest另外一套重要的规范就是HTTP STATUS，这套状态码规范定义了常规的api操作所可能产生的各种可能结果的描述，遵循这套规范，会使得你的api变得更加可读，同时也便于各种网络...202 Accepted - [*]：表示一个请求已经进入后台排队（异步任务） 204 NO CONTENT - [DELETE]：用户删除数据成功。...401 Unauthorized - [*]：表示用户没有权限（令牌、用户名、密码错误）。 403 Forbidden - [*] 表示用户得到授权（与401错误相对），但是访问是被禁止的。

    1.7K30

    REST初体验

    最近开发学习中用到了REST API，处于懵懂，此REST，非彼rest，不是我们理解的含义，这是一种缩写，REpresentational State Transfer，再具体一些就是Resource...，《Representational State Transfer (REST)》， ?...学习REST，必须动手实践，用起来才能慢慢体会，否则只能停留于理论，但是基础的理论学习，还是必须，我主要是参考了，阮一峰老师的《RESTful API 设计指南》，概括精辟，没有任何废话，总结引用于此，...202 Accepted - [*]：表示一个请求已经进入后台排队（异步任务） 204 NO CONTENT - [DELETE]：用户删除数据成功。...401 Unauthorized - [*]：表示用户没有权限（令牌、用户名、密码错误）。 403 Forbidden - [*] 表示用户得到授权（与401错误相对），但是访问是被禁止的。

    1.1K20
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券