你的 pprof 暴露了

首发于：https://studygolang.com/articles/12568

IPv4 扫描暴露出的 net/http/pprof 端点（endpoint）

原文发表日期: 2017/9/27

Go语言的 net/http/pprof 包是令人难以置信的强大的，调试正在运行的生产服务器的这个功能微不足道，而在这个调试过程，就很容易不经意间将调试信息暴露给世界。在这篇文章中，我们用 zmap project 作为例子，展示一个现实中真正的问题，并且说明你可以采取的预防措施。

早期版本提出，暴露的端点可能泄露源代码。Aram Hăvărneanu 指出了这个错误，本文已修正。

引言

通过一个 import _ "net/http/pprof" ，你可以将分析端点添加到 HTTP 服务器。

/debug/pprof/profile: 30秒的CPU状态信息

/debug/pprof/heap: 内存的堆信息

/debug/pprof/goroutine?debug=1: 所有协程的堆栈踪迹

/debug/pprof/trace: 执行的追踪信息

举个例子，假如我们使用 hey （负载测试工具）给这个服务增加一些负载，同时我们查看下堆栈信息，如下

在几秒钟内，我们以较细的颗粒度地检查服务器

此功能对于追踪仅在生产环境中出现的错误和性能问题非常重要。但是，权限越大则责任越大。

开启 Pprof 服务

这种机制非常简单，他只需一次 import ! 它可以在任何的地方 import，甚至在你使用的 library 中。当你兴奋地使用它来追踪你的协程泄露问题时，你或许会忘记事后移除这个调试入口。这就导致了问题：

有多少 pprof 服务暴露在网络中？

为了回答这个问题，我们可以尝试在 IPv4 扫描开启 pprof 的服务器。为了限制搜索范围，我们可以选择一些合理的端口。

6060 官方文档建议的

8080 经常在入门教程出现

80 标准的 HTTP 端口

443 HTTPS 的端口

接下来让你失望了，因为收到云服务器的警告邮件，所以作者没有完成这个搜索工作。尽管我可以用更狡猾的方法来完成这个工作，但是我已经有足够的证据说服自己这个问题在现实中是真实存在的。

zmap project 用一行命令就可以进行这些类型的扫描

zmap 扫描 IPv4 范围中开启6060端口的服务并调用它，然后 banner grabber 的 zgrab 采集 HTTP 请求的 GET /debug pprof 的响应结果与问题。我们可以认为任意响应为 200 OK 的服务器与包含 goroutine 的响应体即为命中。下面是我们发现的内容:

至少有 69 个 IP 使用 pprof 开启了 6060 端口

同上，至少有 70 个 IP 开启了 8080 端口

在扫描 80 端口之前， Google Cloud 怀疑我的服务器被入侵成为挖矿机（mining cryptocurrency）而停止了我的账号.

好吧，这个"挖矿"部分有点怪异，不过打住。现在我们知道了有许多机器在公网上开放了 pprof 服务，这正是我强调的问题。

我根据 WHOIS 信息向服务器所有者发送了邮件报告问题。我不得不说来自 linode 的回应非常快速积极。

我很想看到更有才华的人可以完成这个全网扫描，我怀疑还有更多的服务器在 80 端口与 443 端口暴露了 pprof 服务。

风险

安全问题：

显示函数名与文件路径

分析数据可能揭示商业敏感信息(例如，web服务的流量)

分析会降低性能，为 DoS 攻击增加助攻

预防

Farsight Security 警告过这个问题，并且提供了建议

一个简单而有效的方式是将pprof http服务器放在本地主机上的一个单独的端口上，与应用程序http服务器分开。

总之，你需要安排两台HTTP服务器。常见的设置是

应用程序服务将80端口暴露在公网上

pprof服务监听本地6060端口并且限于本地访问

原生的写法是不使用全局的 HTTP 方法的情况下构建主应用程序(使用隐藏配置 http.DefaultServeMux )，而是用标准的方法启动你的 pprof 服务。

如果处于任何原因，你都需要将全局 http.DefaultServeMux 用于你的应用服务器，你可以切换它然后像往常执行。

我封装了一个 professor package，通过它来使用 net/http/pprof 包，并且提供一些便利的方法。

结论

net/http/pprof 是很强大，但是请不要让你的调试信息暴露给全世界，遵循以上预防措施，你会没事的。

via: http://mmcloughlin.com/posts/your-pprof-is-showing

作者：mmcloughlin

译者：lightfish-zhang

校对：polaris1119

本文由 GCTT 原创编译，Go语言中文网 荣誉推出