elasticsearch漏洞
漏洞**：
cve-2014-3120 命令執行
cve-2015-3337 目錄穿越
cve-2014-3120 命令執行
啟動：docker-compose build
docker-compose up -d
cve-2015-3337 目錄穿越
在安裝了具有「site」功能的外掛程式以後，外掛程式目錄使用../即可向上跳轉，導致目錄穿越漏洞，可讀取任意檔案。
沒有安裝任意外掛程式的elasticsearch不受影響
安全加固
不要暴露在公網上, 監聽本地 127.0.0.1
不要以root身份執行， 可以建立普通使用者來啟動服務， 若不幸被攻破，是普通使用者許可權，也拿不到有價值的資料
9200埠加上一層 http basic-auth 基本身份認證
修復限定訪問的ip
不允許匿名訪問
防止弱口令
禁用root許可權
mongodb未授權訪問
最要是 安裝完後 沒對其做安全加固，
mongodb 埠 27017 開放在公網，
案例：2023年底至2023年初,爆發了針對mongodb的勒索事件。
mongodb資料庫意外暴露超過200萬墨西哥公民的醫療健康資料
案例：未授權訪問漏洞
某遊戲平台mongodb未授權訪問洩露大量資料
在剛安裝完畢的時候mongodb都預設有乙個admin資料庫,此時admin資料庫是空的,沒有記錄許可權相關的資訊！
安全加固
mongodb***事件**
確保對mongodb資料庫啟用了身份驗證
不要開放到公網0.0.0.0 監聽 127.0.0.1
建立完整的資料庫備份機制，以免被刪庫後無法及時恢復
錯誤配置
memcached伺服器端都是直接通過客戶端連線後直接操作，沒有任何的驗證過程，且mecached預設以root許可權執行。因而如果mecached伺服器直接暴露在網際網路上的話是比較危險，輕則造成敏感資料洩露，重則可導致伺服器被***。
memcached -d -m 100 -u root -p 11211 -c 512 -p /tmp/memcached.pid
telnet 192.168.4.4 11211
memcached未作ip限制導致快取資料可被***者控制
memcached drdos***
drdos是英文「distributed reflection denial of service 」的縮寫，中文意思是「分布式反射拒絕服務」。與dos、ddos不同，該方式靠的是傳送大量帶有被害者ip位址的資料報給***主機，然後***主機對ip位址源做出大量回應，形成拒絕服務***。
安全加固
限制訪問ip
設定啟動使用者
新版本memcached
配置監聽位址僅限本地回環位址
Google Chrome 修復24個安全漏洞
基於開源chromium 46網頁瀏覽器，今天google面向windows mac和linux使用者推送了chrome 46版本更新 v46.0.2490.71 主要修復了部分安全漏洞並對後台效能進行了優化，但遺憾的是google並未公布更新日誌，chrome團隊代表tina zhou表示 chr...
安全協議不安全 OpenSSL現重大安全漏洞
2014年4月8日，微軟宣稱將不再為windows xp提供技術支援，當大多數人在憂慮如何保護個人電腦安全時，openssl卻爆出本年度最嚴重的安全漏洞！無論使用者電腦多麼安全，只要登陸的 使用了存在漏洞的openssl版本，就可能被黑客實時監控到登入賬號和密碼。openssl是什麼?ssl 安全套...
安裝使用lynis掃瞄Linux的安全漏洞
lynis是linux平台上的一款安全漏洞掃瞄工具。它可以掃瞄系統的安全漏洞 收集系統資訊 安裝的軟體資訊 配置問題 沒有設定密碼的使用者和防火牆等等。lynis是流行可靠的安全掃瞄工具。前不久，lynis更新了版本，lynis發布了2.2.0。在這個版本上增加了新的特性和一些小的功能提公升。我建議...