epsylon/prommetrixPrommetrix는 'Prometheus'가 실행하는 'Node Exporter' 인스턴스에서 관련 정보를 얻을 수 있습니다.
Prommetrix는 'Prometheus'가 실행하는 'Node Exporter' 인스턴스에서 관련 정보를 얻기 위한 무료 소프트웨어 도구입니다.
Prometheus는 클라우드 애플리케이션을 위한 오픈소스, 메트릭 기반 이벤트 모니터링 및 알림 솔루션입니다. Uber, Slack, Robinhood 등을 포함한 약 800개의 클라우드 네이티브 조직에서 사용됩니다. Prometheus는 다양한 엔드포인트에서 실시간 메트릭을 스크래핑하여 시스템 상태를 쉽게 관찰할 수 있게 하며, 메모리 사용량, 네트워크 사용량 및 소프트웨어별 정의 메트릭(예: 웹 애플리케이션에 대한 실패한 로그인 시도 횟수)과 같은 하드웨어 및 소프트웨어 메트릭도 관찰할 수 있습니다.
Prometheus가 수집하는 숫자 메트릭은 민감한 데이터로 간주되지 않기 때문에, Prometheus는 모니터링 관련 기능 개발에 집중하기 위해 인증 및 암호화와 같은 보안 기능에 대한 내장 지원을 피하는 이해할 만한 정책을 유지해 왔습니다. 이 정책은 1년도 채 되지 전(2021년 1월) TLS(Transport Layer Security) 및 기본 인증 지원이 도입된 버전 2.24.0이 출시되면서 변경되었습니다.
인증 및 암호화 지원이 비교적 최근에 도입되었기 때문에, Prometheus를 사용하는 많은 조직은 아직 이러한 기능을 활성화하지 않았으며, 따라서 많은 Prometheus 엔드포인트(예: 이전 버전을 실행하는 엔드포인트)가 인터넷에 완전히 노출되어 메트릭 및 레이블 데이터가 유출되고 있습니다.
이 취약점은 펜테스트/보고서에서 다음과 같이 설명될 수 있습니다:
"일부 서비스의 메트릭 데이터를 수집하려면 핵심 Prometheus 서비스가 데이터를 스크래핑할 수 있도록 하는 클라이언트 라이브러리를 구현해야 합니다. 클라이언트 라이브러리는 최소한의 HTTP 서버를 열고 스크래핑을 위해 핵심 서비스에 등록되는 경로를 노출합니다. 이 엔드포인트는 기본적으로 인증되지 않으므로 URI를 아는 사람은 누구나 메트릭 데이터를 읽을 수 있습니다. 어떤 형태로든 인증을 도입하는 것이 권장됩니다. 핵심 Prometheus 서비스만 메트릭 데이터를 읽을 수 있어야 합니다."
Dork (기본 포트 사용):
Prommetrix - 이러한 메트릭을 활용하여 Prometheus 인스턴스 및 실행 중인 머신에 대한 관련 정보를 얻습니다.
이 도구는 여러 플랫폼에서 실행되며 Python(3.x.y)이 필요합니다.
python prommetrix.py (or python3 prommetrix.py)
Prommetrix는 GPLv3로 배포됩니다.
- psy ([email protected])
기부를 하려면 다음 해시를 사용하세요:
- Bitcoin: 19aXfJtoYJUoXEZtjNwsah2JKN9CK5Pcjw