全球数千服务器有漏洞:泄漏密码密钥等敏感信息

近日，安全研究人员通过搜索引起发现数千个暴露在互联网上的etcd服务器，存在泄漏密码、密钥等敏感信息的严重安全问题。

一、数千台服务器被爆存在安全漏洞

安全研究人员 Giovanni Collazo 通过一款名为Shodan的搜索引擎发现，目前约有2248个暴露在互联网上的etcd服务器。

该安全研究人员专门写来一个脚本去查询着2248个服务器，去抓取他们的登录凭证制作成数据包，他在收集到750M的数据后决定终止脚本的运行，并发现数据包中包含有8781个密码、650AWS访问密钥、23个密钥和8个私钥。

那么，可以毫不夸张的说，如果这位安全研究人员并没有停止抓取脚本的运行，相信得到的数据会更多、也就意味着，这些只是暴露在网络中的隐私数据的冰山一角。

不过，据这位安全人员介绍，他并乜嘢对这些密码进行验证，推测这些密码应该都是有效的。

二、专业知识小科普

1、什么是etcd

业内人士对于etcd应该并不陌生，当然，笔者在这里属于外行，也只能通过查询资料来了解了，所谓的etcd简单理解就是一种被计算集群用来存储和分发密码和配置设置的数据库，能够在默认情况下不去校验当前用户的身份，就能对查询返回管理凭证。

而实际上，etcd服务器就不应该被暴露在互联网上，管理员可以通过修改默认设置，加入相应的身份验证机制！

2、Shodan搜索引擎

在2009年举办的黑客大会DEFCON会上，一位来自名叫约翰·马瑟利的互联网制图师、或者说是黑客吧，发布来一款名为“Shodan”的搜索引擎，被媒体和业内人士称之为世界上最可怕的搜索引擎。

据悉，Shodan搜索引擎能够找到的设备包括服务器、路由器、交换机、公共ip的打印机、网络摄像头、加油站的泵、Voip电话和所有数据采集监控系统。

而且，Shodan搜索引擎还能针对用户指定的项目，实现端口的寻找并拦截数据，然后为拦截的数据设置索引，简单来说，和谷歌、百度等通过返回内容进行检索的方式不同，Shodan是通过对各种设备的HTTP header以及其它标志性信息进行检索的。