CentOS 7.9 Elasticsearch V5.6.8 9200端口未授权访问漏洞修复_裘悦的技术博客_

相关文章推荐

听话的香菜 · 关于WPS升级新版本的通知（转）-温州大学商 ...· 2 月前 ·

爱笑的肉夹馍 · 微纪录片丨生命因冰雪而火热- 中国军网· 1 年前 ·

个性的茄子 · 刘豫-能源与动力工程学院· 1 年前 ·

拉风的猴子 · 调查报告模板及范文- 搜狗图片搜索· 1 年前 ·

飘逸的打火机 · 豆瓣评分太低了，《悟空传》你不然换个名字吧-品玩· 1 年前 ·

一、演示说明：

Elasticsearch是Java编写的企业级搜索服务，启动服务默认会开放HTTP 9200端口，可被非法操作数据。可以通过升级到ES高版本，使用x-pack插件、search-guard插件、shield插件，或使用防火墙做限制。本文演示通过Nginx反代ES的9200端口，使用ngx_http_auth_basic_module模块做访问控制，登录时需输入用户名和密码。

二、部署ES：

1、关闭防火墙firewalld和SELinux

2、配置JDK：

# cd /etc/profile.d
# touch jdk.sh
# cat > jdk.sh <<EOF
export JAVA_HOME=/iflytek/java/jdk1.8.0_251
export JRE_HOME=$JAVA_HOME/jre
export CLASSPATH=.:$JAVA_HOME/lib:\$JRE_HOME/lib:$CLASSPATH
export
PATH=$JAVA_HOME/bin:$JRE_HOME/bin:$JAVA_HOME:$PATH
# cat /etc/profile.d/jdk.sh
# source /etc/profile.d/jdk.sh
# chmod +x /iflytek/java/jdk1.8.0_251/bin/java
# logout
# java -version
3、调整系统参数：
# vim /etc/security/limits.conf，末尾新增如下代码：
* soft nofile 102431
* hard nofile 102431
* soft nproc 102431
* hard nproc 102431
# logout
# ulimit -n
# vim /etc/sysctl.conf，末尾新增如下代码：
vm.max_map_count=655360
# sysctl -p
4、创建普通用户esuser，并对相关目录授权：
# adduser esuser
# chown -R esuser:esuser /iflytek/data/elasticsearch-5.6.8/
# chown -R esuser:esuser /iflytek/server/elasticsearch-5.6.8/
5、修改elasticsearch.yml配置文件：
# vim /iflytek/server/elasticsearch-5.6.8/config/elasticsearch.yml
network.host: 192.168.0.202
# \grep "network.host" /iflytek/server/elasticsearch-5.6.8/config/elasticsearch.yml
6、启动ES：
# chmod +x /iflytek/server/elasticsearch-5.6.8/bin/elasticsearch
# su - esuser -c "/iflytek/server/elasticsearch-5.6.8/bin/elasticsearch &" &> /tmp/elasticsearch.txt
# tail -f /tmp/elasticsearch.txt
# ps -ef | grep elasticsearch | grep -v grep
# ss -tunlp | grep 9200
7、浏览器访问9200端口：
192.168.0.202:9200
192.168.0.202:9200/_cat
说明：能正常访问页面
三、部署Nginx：
1、安装Nginx和相关工具：
# yum -y install epel-release
# yum -y install nginx httpd-tools
2、创建页面登录认证用户admin和对应密码文件：
# htpasswd -c /etc/nginx/.htpasswd admin
# cat /etc/nginx/.htpasswd
说明：密码123456加密后保存在/etc/nginx/.htpasswd文件中。
3、修改nginx.conf配置文件，在http配置段内新增如下代码：
# vim /etc/nginx/nginx.conf
upstream elasticsearch {
    server  localhost:9200;
server {
    listen  9201;
    server_name  192.168.0.202;
    # 认证提示框的banner信息
    auth_basic "Welcome to Elasticsearch";
    # 使用htpasswd创建的密码文件位置
    auth_basic_user_file  /etc/nginx/.htpasswd;
    location / {
        proxy_pass  http://elasticsearch;
        # 重定向后的请求会增加一个名为Host的header，包含目标IP
        proxy_set_header  Host  $host;
        # 重定向后的请求会增加一个名为X-Real-IP的header，包含请求源IP
        proxy_set_header  X-Real-IP  $remote_addr;
        # 重定向后的请求会增加一个名为X-Forwarded-For的header，记录X-Forwarded-For信息
        proxy_set_header  X-Forwarded-For  $proxy_add_x_forwarded_for;
}
说明：
（1）proxy_set_header指令用于在Nginx反向代理服务器上设置请求头。Host是HTTP协议中的一个请求头，表示请求的目标主机名或IP地址。在使用反向代理时，代理服务器需要知道客户端请求的目标服务器地址，因此要在请求头中包含Host信息。$host是Nginx内置变量，表示请求中的域名部分。通过将Host设置为$host，Nginx会将请求的域名部分作为Host请求头发送到目标服务器，从而正确地将请求路由到对应的虚拟主机或域名下的应用程序。
（2）X-Real-IP是一个自定义的请求头名称，$remote_addr是Nginx内置变量，表示客户端的真实IP地址。因此，proxy_set_header  X-Real-IP 
$remote_addr的含义是将客户端的真实IP地址记录到X-Real-IP请求头中，并将该请求头传递给后端的upstream服务器，使得后端服务器能获取到客户端真实的IP地址信息。当Nginx作为反向代理时，它会将客户端请求转发给后端的upstream服务器。在这个过程中，upstream服务器收到的源IP是Nginx服务器的IP地址而不是客户端的IP地址，导致后端服务器无法获取真实的客户端IP地址，无法实现一些IP相关的功能，例如IP黑名单等。
（3）X-Forwarded-For是一个自定义的请求头名称，$proxy_add_x_forwarded_for是Nginx内置变量，表示在代理链中已有的X-Forwarded-For的值，并且会在它后面添加客户端的IP地址。这个指令的作用是将客户端的真实IP地址信息附加在请求头中，通过代理服务器转发给后端的服务器，以便于后端服务器获取客户端的真实IP地址，从而实现一些IP相关的功能，例如IP黑名单等。使用$proxy_add_x_forwarded_for会将客户端IP地址附加在已有的X-Forwarded-For字段后，并以逗号分隔，如果没有X-Forwarded-For字段则会创建该字段。在进行多层代理时也能够更容易地追踪到客户端的真实地址，提高可靠性。
4、检查配置文件语法并启动Nginx：
# nginx -t
# systemctl start nginx
# ps -ef | grep nginx
# ss -tunlp | grep -w 80
四、配置ES：
1、停止ES：
# ps -ef | grep elasticsearch | grep -v grep
# kill -9 1697
2、修改elasticsearch.yml配置文件：
# vim /iflytek/server/elasticsearch-5.6.8/config/elasticsearch.yml
network.host: localhost
\grep "network.host" /iflytek/server/elasticsearch-5.6.8/config/elasticsearch.yml
说明：避免外部用户通过网络直接访问到ES的9200端口，需要将服务绑定localhost。
3、启动ES：
# su - esuser -c "/iflytek/server/elasticsearch-5.6.8/bin/elasticsearch &" &> /tmp/elasticsearch.txt
# tail -f /tmp/elasticsearch.txt
# ps -ef | grep elasticsearch | grep -v grep
# ss -tunlp | grep 9200
五、效果测试：
1、浏览器无法直接访问http://192.168.0.202:9200
2、浏览器访问Nginx代理，http://192.168.0.202:9201，输入用户名admin和密码123456


    
     java ftp限速 java中ftp上传
    
    
     在JAVA程序中，经常需要和FTP打交道，比如向FTP服务器上传文件、下载文件，本文简单介绍如何利用jakarta commons中的FTPClient（在commons-net包中）实现上传下载文件。一、上传文件         原理就不介绍了，大家直接看代码吧/**
	 * Description: 向FTP服务器