epsylon/prommetrixPrommetrix 'Prometheus' द्वारा निष्पादित 'Node Exporter' के इंस्टेंस से प्रासंगिक जानकारी प्राप्त कर सकता है।
Prommetrix एक निःशुल्क सॉफ्टवेयर टूल है जो 'Prometheus' द्वारा निष्पादित 'Node Exporter' के इंस्टेंस से प्रासंगिक जानकारी प्राप्त करता है।
Prometheus क्लाउड अनुप्रयोगों के लिए एक ओपन-सोर्स, मेट्रिक्स-आधारित इवेंट मॉनिटरिंग और अलर्टिंग समाधान है। इसका उपयोग लगभग 800 क्लाउड-नेटिव संगठनों द्वारा किया जाता है, जिनमें Uber, Slack, Robinhood और अन्य शामिल हैं। विभिन्न endpoints से वास्तविक समय के मेट्रिक्स को स्क्रैप करके, Prometheus मेमोरी उपयोग, नेटवर्क उपयोग और सॉफ्टवेयर-विशिष्ट परिभाषित मेट्रिक्स (उदा. किसी वेब एप्लिकेशन में विफल लॉगिन प्रयासों की संख्या) जैसे हार्डवेयर और सॉफ्टवेयर मेट्रिक्स के अवलोकन के अलावा सिस्टम की स्थिति का आसान अवलोकन करने की अनुमति देता है।
चूंकि Prometheus द्वारा कैप्चर किए गए संख्यात्मक मेट्रिक्स को संवेदनशील डेटा नहीं माना जाता है, इसलिए Prometheus ने मॉनिटरिंग-संबंधित सुविधाओं को विकसित करने पर ध्यान केंद्रित करने के लिए, प्रमाणीकरण और एन्क्रिप्शन जैसी सुरक्षा सुविधाओं के लिए अंतर्निहित समर्थन से बचने की एक समझने योग्य नीति रखी है। यह एक वर्ष से भी कम समय पहले (जनवरी 2021) बदल गया, जब संस्करण 2.24.0 जारी किया गया, जिसमें Transport Layer Security (TLS) और बेसिक प्रमाणीकरण समर्थन पेश किया गया।
चूंकि प्रमाणीकरण और एन्क्रिप्शन समर्थन अपेक्षाकृत नया है, कई संगठन जो Prometheus का उपयोग करते हैं, उन्होंने अभी तक इन सुविधाओं को सक्षम नहीं किया है, और इस प्रकार कई Prometheus endpoints पूरी तरह से इंटरनेट के संपर्क में हैं (उदा. वे endpoints जो पुराने संस्करण चलाते हैं), जिससे मेट्रिक और लेबल डेटा लीक होता है।
इस भेद्यता को Pentest/Report में इस प्रकार वर्णित किया जा सकता है:
"कुछ सेवाओं के लिए मेट्रिक डेटा एकत्र किया जाना होता है और इन वस्तुओं को एक क्लाइंट-लाइब्रेरी लागू करने की आवश्यकता होती है जो मुख्य Prometheus सेवा को डेटा स्क्रैप करने में सक्षम बनाती है। क्लाइंट- लाइब्रेरी एक न्यूनतम HTTP सर्वर खोलती है और एक रूट उजागर करती है जिसे फिर स्क्रैपिंग के लिए मुख्य सेवा के साथ पंजीकृत किया जाता है। यह endpoint डिफ़ॉल्ट रूप से अप्रमाणित होता है, जो URI जानने वाले किसी भी व्यक्ति को मेट्रिक डेटा पढ़ने की अनुमति देता है। कुछ प्रकार का प्रमाणीकरण स्थापित करने की अनुशंसा की जाती है। केवल मुख्य Prometheus सेवा को मेट्रिक डेटा पढ़ने की अनुमति दी जानी चाहिए।"
Dork (डिफ़ॉल्ट पोर्ट का उपयोग करके):
Prommetrix - इन मेट्रिक्स का लाभ उठाकर Prometheus इंस्टेंस के साथ-साथ उस मशीन के बारे में भी प्रासंगिक जानकारी प्राप्त करेगा जिस पर यह चल रही है।
यह टूल कई प्लेटफार्मों पर चलता है और इसे Python (3.x.y) की आवश्यकता होती है।
python prommetrix.py (or python3 prommetrix.py)
Prommetrix GPLv3 के अंतर्गत जारी किया गया है।
- psy ([email protected])
दान करने के लिए निम्नलिखित हैश का उपयोग करें:
- Bitcoin: 19aXfJtoYJUoXEZtjNwsah2JKN9CK5Pcjw