Prommetrix

信息：

Prommetrix 是一款免费软件工具，用于从由 Prometheus 执行的 'Node Exporter' 实例中获取相关信息。

Prometheus 是一种开源的、基于指标的事件监控和告警解决方案，适用于云应用。包括 Uber、Slack、Robinhood 等在内的近 800 家云原生组织都在使用它。通过从各个端点抓取实时指标，Prometheus 可以轻松观察系统状态，此外还能观察硬件和软件指标，例如内存使用率、网络使用率以及软件特有的定义指标（例如对 Web 应用程序的失败登录尝试次数）。

• https://prometheus.io/docs/guides/node-exporter/

由于 Prometheus 捕获的数值指标不被视为敏感数据，Prometheus 一直采取一种可以理解的政策，即避免内建对身份验证和加密等安全特性的支持，以便专注于开发监控相关功能。这一政策在不到一年前（2021 年 1 月）发布 2.24.0 版本时发生了变化，该版本引入了传输层安全性（TLS）和基本身份验证支持。

由于身份验证和加密支持相对较新，许多使用 Prometheus 的组织尚未启用这些功能，因此许多 Prometheus 端点完全暴露于互联网（例如运行早期版本的端点），从而泄露指标和标签数据。

该漏洞可以在渗透测试/报告中描述如下：

• PRM-01-001 客户端：客户端通过未受保护的端点泄露指标数据（低）

"指标数据是要为某些服务收集的，这些项目需要实现一个 客户端库，使核心 Prometheus 服务能够抓取数据。该客户端 库会打开一个极简 HTTP 服务器并暴露一条路由，该路由随后 会被注册到核心服务以供抓取。该端点默认未经过身份验证， 因此任何知道 URI 的人都可以读取指标数据。建议采用某种 形式的身份验证。应只允许核心 Prometheus 服务读取指标 数据。"

Dork（使用默认端口）：

• inurl:":9100/metrics"

Prommetrix - 将利用这些指标来获取 Prometheus 实例以及运行该实例的机器的相关信息。

安装：

该工具可在多种平台上运行，并且需要 Python (3.x.y)。

启动：

python prommetrix.py (or python3 prommetrix.py)

许可证：

Prommetrix 根据 GPLv3 许可证发布。

联系方式：

  - psy ([email protected])

贡献：

如欲捐款，请使用以下哈希值：

 - Bitcoin: 19aXfJtoYJUoXEZtjNwsah2JKN9CK5Pcjw