Elastic Compute Service:Metadata instans

Dapatkan metadata instans

Metadata instans mencakup atribut seperti ID instans, konfigurasi jaringan, dan kredensial akses.

Hanya aktifkan mode penguatan keamanan

Aktifkan Security Hardening Mode sehingga metadata hanya dapat diakses dengan token. Permintaan dalam mode normal akan mengembalikan error 403 - Forbidden. Secara default, Instance ECS mengizinkan akses tanpa token (mode normal), yang berisiko tinggi terhadap serangan SSRF.

Serangan khas memanfaatkan fitur aplikasi seperti mengunduh gambar dari URL eksternal. Penyerang membuat permintaan yang menipu server agar mengakses layanan metadata dan mencuri kredensial sementara peran RAM. Jika peran tersebut memiliki izin tingkat tinggi, penyerang dapat mengambil alih sumber daya cloud Anda atau seluruh akun Alibaba Cloud Anda.

aliyun ecs RunInstances \
--region cn-hangzhou \
--RegionId 'cn-hangzhou' \
--ImageId 'aliyun_3_x64_20G_alibase_20250629.vhd' \
--InstanceType 'ecs.g7.large' \
--VSwitchId 'vsw-bp1******trg' \
--SecurityGroupId 'sg-bp1******dgl' \
--SystemDisk.Size 40 \
--SystemDisk.Category cloud_essd \
--HttpEndpoint enabled \
--HttpTokens required

aliyun ecs ModifyInstanceMetadataOptions \
--region cn-hangzhou \
--RegionId 'cn-hangzhou' \
--InstanceId 'i-bp1******ke' \
--HttpEndpoint enabled \
--HttpTokens required

Detail metadata instans

Metadata diatur dalam hierarki menyerupai direktori. Mengakses direktori mengembalikan entri atau subdirektorinya. Misalnya, meta-data/instance/ mengembalikan instance-name dan instance-type.

{
    "AccessKeyId": "****",
    "AccessKeySecret": "****",
    "Expiration": "2024-11-08T09:44:50Z",
    "SecurityToken": "****",
    "LastUpdated": "2024-11-08T03:44:50Z",
    "Code": "Success"
}

FAQ

• Apa itu serangan SSRF, dan bagaimana mode penguatan keamanan melindungi darinya?

  SSRF adalah kerentanan di mana penyerang menipu server agar melakukan permintaan jaringan tidak sah untuk mengakses sistem internal seperti layanan metadata atau database. Misalnya, penyerang dapat mengirimkan URL yang berisi http://100.100.100.200/latest/meta-data/ untuk menipu aplikasi agar mengambil dan mengembalikan metadata sensitif.

  Secara default, Instance ECS mengizinkan akses tanpa token (mode normal). Mode penguatan keamanan menerapkan validasi token: klien pertama kali mengirim permintaan PUT untuk token sementara, lalu menyertakannya dalam permintaan GET. Karena serangan SSRF tidak dapat memulai permintaan PUT, mereka tidak dapat memperoleh token, sehingga secara efektif memblokir akses tidak sah.

• Saya tidak dapat mengakses metadata instans menggunakan perintah dalam mode penguatan keamanan. Bagaimana cara memperbaikinya?

  Kesalahan perintah umum:

  • TTL kredensial akses metadata instans berada di luar rentang (400 - Missing or Invalid Parameters)

    TTL harus antara 1 hingga 21.600 detik. Nilai di luar rentang ini mengembalikan 400 - Missing or Invalid Parameters.

    curl -X PUT "http://100.100.100.200/latest/api/token" -H "X-aliyun-ecs-metadata-token-ttl-seconds: 21700"

  • Permintaan berisi header X-Forwarded-For (403 - Forbidden)

    curl -X PUT "http://100.100.100.200/latest/api/token" -H "X-Forwarded-For: www.ba****.com"

  • Kredensial akses metadata instans yang ditentukan tidak valid (401 - Unauthorized)

    curl -H "X-aliyun-ecs-metadata-token: aaa" -v http://100.100.100.200/latest/meta-data/

• Apa yang harus saya lakukan jika akses frekuensi tinggi saya ke layanan metadata dibatasi lajunya?

  Layanan metadata memiliki batas laju. Ambil item yang jarang berubah seperti instance-id sekali saat startup dan simpan dalam cache lokal dengan TTL yang wajar.

• Aplikasi saya berhenti bekerja setelah saya mengubah mode akses metadata instans ke mode penguatan keamanan. Bagaimana cara memecahkan masalah ini?

  Aplikasi atau skrip pada instans mungkin masih menggunakan mode normal. Ikuti Tingkatkan instans yang sudah ada untuk memeriksa dan memperbaruinya.

• Apakah saya dapat mengakses alamat metadata dari host lokal?

  Tidak. 100.100.100.200 adalah alamat link-lokal yang hanya dapat dijangkau dari dalam Instance ECS melalui antarmuka jaringan virtualnya. Permintaan dari luar instans tidak dapat diarahkan ke alamat ini.

• Apa yang harus saya lakukan jika saya tidak dapat memilih mode penguatan keamanan saat membuat instans dari gambar kustom?

  Saat membuat Instance ECS dari gambar Linux kustom, Anda mungkin menemukan bahwa Security Hardening Mode tidak tersedia. Ini berarti gambarnya tidak memenuhi persyaratan. Tingkatkan gambarnya sebagai berikut:

  1. Buat instans sementara: Gunakan gambar kustom untuk membuat Instance ECS sementara.

  2. Modifikasi instans sementara: Pada instans sementara, lakukan modifikasi berikut. Lihat Tingkatkan instans yang sudah ada.

     • Tingkatkan Cloud-init: Tingkatkan Cloud-init ke versi 23.2.2 atau lebih baru.

     • Modifikasi aplikasi dan skrip: Perbarui semua aplikasi atau skrip yang menggunakan mode normal ke mode penguatan keamanan.

  3. Buat gambar baru dan perbarui atributnya: Buat gambar kustom baru dari instans tersebut. Lalu panggil ModifyImageAttribute untuk mengatur Features.ImdsSupport ke `v2`.

  4. Rilis sumber daya: Rilis instans sementara setelah gambar baru dibuat.

• Versi alat Credentials mana yang mendukung mode penguatan keamanan?

  Versi Credentials sebelumnya tidak mendukung akses metadata dalam mode penguatan keamanan. Beralih ke mode penguatan keamanan tanpa peningkatan mencegah SDK mendapatkan token STS, menyebabkan gangguan layanan.

  Tingkatkan dependensi Credentials ke versi yang didukung sebelum beralih mode:

  • Java: credentials-java versi >= 0.3.10.

  • Node.js: credentials versi >= 2.3.1.

  • PHP: credentials versi >= 1.2.0.

  • Python: alibabacloud_credentials versi >= 0.3.6.

  • Go: credentials-go versi >= 1.3.10.

• Bagaimana cara mendeteksi apakah Instance ECS diakses dalam mode normal?

  Gunakan metode berikut untuk mendeteksi dan menemukan proses yang mengakses metadata dalam mode normal.

  Metode 1: Gunakan CloudMonitor untuk memeriksa akses mode normal

  Periksa data pemantauan metadata ECS di konsol CloudMonitor untuk menentukan apakah instans diakses dalam mode normal.

  1. Masuk ke konsol CloudMonitor.

  2. Di panel navigasi kiri, pilih Cloud Resource Monitoring > Cloud Service Monitoring. Cari dan buka halaman pemantauan ECS Metadata.

  3. Lihat metrik Successful Normal Mode Accesses untuk instans target.

  4. Jika metrik ini tidak 0, berarti instans diakses dalam mode normal. Temukan dan tingkatkan aplikasi yang menggunakan mode normal.

  Metode 2: Gunakan plugin Asisten Cloud untuk menemukan proses tertentu

  Gunakan plugin Asisten Cloud untuk menemukan proses yang mengakses metadata dalam mode normal.

  Sistem operasi yang didukung

  Alibaba Cloud Linux 3 Alibaba Cloud Linux 3 Pro Anolis OS 8 CentOS Stream 8/9 CentOS 8

  Ubuntu: 20/24 Debian:10,11,12 Fedora 35+ AlmaLinux 8/9 Rocky Linux 8/9

  Red Hat Enterprise Linux 8/9 Untuk Red Hat, unduh paket RPM untuk menginstal Agen Asisten Cloud. SUSE 15.1/15.2/15.3/15.4/15.5/15.6 OpenSuse 15.2/15.3/15.4/15.5/15.6

  Prosedur

  1. Instal dan aktifkan plugin Asisten Cloud

     Masuk ke Instance ECS dan instal layanan pemantauan. Layanan ini mengonsumsi sebagian sumber daya instans.

     # Deploy layanan pemantauan.
     sudo acs-plugin-manager --exec --plugin ACS-ECS-ImdsPacketAnalyzer
     
     # Periksa status layanan pemantauan.
     sudo systemctl status imds_tracer_tool

     [root@cockpit ~]# systemctl status imds_tracer_tool
     ● imds_tracer_tool.service - ImdsPacketAnalyzer IMDS detection tooling from Aliyun
        Loaded: loaded (/etc/systemd/system/imds_tracer_tool.service; enabled; vendor preset: disabled)
        Active: active (running) since Tue 2025-04-01 11:27:46 CST; 1 day 4h ago
      Main PID: 3549929 (python3)
         Tasks: 1 (limit: 3246596)
        Memory: 100.0M
        CGroup: /system.slice/imds_tracer_tool.service
                └─3549929 /bin/python3 /usr/local/share/aliyun-assist/plugin/ACS-ECS-ImdsPacketAnalyzer/1.0/src/imds_snoop.py
     
     Apr 02 15:58:34 cockpit python3[3549929]: [WARNING] imdsv1(!) (pid:3577803:curl argv:curl -s -o /dev/null --write-out 0.5 http://100.100.100.200) called by -> (pid:3565366:bash argv:
     Apr 02 15:58:34 cockpit python3[3549929]: [WARNING] imdsv1(!) (pid:3577804:curl argv:curl -s -o /dev/null --write-out 0.5 http://100.100.100.200) called by -> (pid:3565366:bash argv:
     Apr 02 15:58:34 cockpit python3[3549929]: [WARNING] imdsv1(!) (pid:3577805:curl argv:curl -s -o /dev/null --write-out 0.5 http://100.100.100.200) called by -> (pid:3565366:bash argv:
     Apr 02 15:58:34 cockpit python3[3549929]: [WARNING] imdsv1(!) (pid:3577806:curl argv:curl -s -o /dev/null --write-out 0.5 http://100.100.100.200) called by -> (pid:3565366:bash argv:
     Apr 02 15:58:34 cockpit python3[3549929]: [WARNING] imdsv1(!) (pid:3577807:curl argv:curl -s -o /dev/null --write-out 0.5 http://100.100.100.200) called by -> (pid:3565366:bash argv:
     Apr 02 15:58:34 cockpit python3[3549929]: [WARNING] imdsv1(!) (pid:3577808:curl argv:curl -s -o /dev/null --write-out 0.5 http://100.100.100.200) called by -> (pid:3565366:bash argv:
     Apr 02 15:58:34 cockpit python3[3549929]: [WARNING] imdsv1(!) (pid:3577809:curl argv:curl -s -o /dev/null --write-out 0.5 http://100.100.100.200) called by -> (pid:3565366:bash argv:
     Apr 02 15:58:34 cockpit python3[3549929]: [WARNING] imdsv1(!) (pid:3577810:curl argv:curl -s -o /dev/null --write-out 0.5 http://100.100.100.200) called by -> (pid:3565366:bash argv:

  2. Temukan proses bermasalah Periksa proses mana yang masih mengakses metadata dalam mode normal. Log menunjukkan ID proses (PID).

     cat /var/log/imds/imds-trace.* | grep WARNING

     [root@cockpit ~]# cat /var/log/imds/imds-trace.* | grep WARNING
     [2025-04-01 11:25:59,483] [WARNING] imdsv1(!) (pid:3534140:acs-plugin-mana argv:acs-plugin-manager --exec --plugin acs-ecs-imdspacketanalyzer) called by -> (pid:3534138:sudo argv:sudo acs-plugin-manager --exec --plugin acs-ecs-imdspacketanalyzer) -> (pid:3533211:bash argv:-bash) -> (pid:3533208:sshd argv:sshd: root@pts/0) req details: get /latest/meta-data/instance-id http/1.1, host: 100.100.100.200, user-agent: linux_386/2.2.4.920, content-type: application/x-www-form-urlencoded, accept-encoding: gzip,
     [2025-04-01 11:25:59,483] [WARNING] imdsv1(!) (pid:3534140:acs-plugin-mana argv:acs-plugin-manager --exec --plugin acs-ecs-imdspacketanalyzer) called by -> (pid:3534138:sudo argv:sudo acs-plugin-manager --exec --plugin acs-ecs-imdspacketanalyzer) -> (pid:3533211:bash argv:-bash) -> (pid:3533208:sshd argv:sshd: root@pts/0) req details: get /latest/meta-data/instance-id http/1.1, host: 100.100.100.200, user-agent: linux_386/2.2.4.920, content-type: application/x-www-form-urlencoded, accept-encoding: gzip,
     [root@cockpit ~]#

  3. Analisis dan modifikasi Temukan aplikasi atau skrip yang sesuai dengan PID tersebut dan tingkatkan ke mode penguatan keamanan.