Elastic Compute Service:Instance metadata

Örnek meta verisini alın

Örnek meta verisi, örnek kimliği, ağ yapılandırması ve erişim kimlik bilgileri gibi nitelikleri içerir.

Yalnızca güvenlik sağlamlaştırma modunu etkinleştirin

Meta veriye yalnızca belirteçle erişilebilmesi için Security Hardening Mode seçeneğini etkinleştirin. Normal moddaki istekler 403 - Forbidden hatası döndürür. Varsayılan olarak ECS örnekleri belirteçsiz erişime izin verir (normal mod), bu da SSRF saldırılarına karşı yüksek risk oluşturur.

Tipik bir saldırı, dış bir URL’den görüntü indirme gibi bir uygulama özelliğinden yararlanır. Saldırgan, sunucuyu meta veri hizmetini sorgulamaya ve RAM rolünün geçici kimlik bilgilerini çalmaya zorlayan bir istek hazırlar. Rolün yetkileri yüksekse saldırgan, bulut kaynaklarınızı hatta tüm Alibaba Cloud hesabınızı ele geçirebilir.

aliyun ecs RunInstances \
--region cn-hangzhou \
--RegionId 'cn-hangzhou' \
--ImageId 'aliyun_3_x64_20G_alibase_20250629.vhd' \
--InstanceType 'ecs.g7.large' \
--VSwitchId 'vsw-bp1******trg' \
--SecurityGroupId 'sg-bp1******dgl' \
--SystemDisk.Size 40 \
--SystemDisk.Category cloud_essd \
--HttpEndpoint enabled \
--HttpTokens required

aliyun ecs ModifyInstanceMetadataOptions \
--region cn-hangzhou \
--RegionId 'cn-hangzhou' \
--InstanceId 'i-bp1******ke' \
--HttpEndpoint enabled \
--HttpTokens required

Örnek meta verisi ayrıntıları

Meta veriler, dizin benzeri bir hiyerarşi içinde düzenlenmiştir. Bir dizine erişildiğinde o dizinin girdileri veya alt dizinleri döndürülür. Örneğin, meta-data/instance/ yolu, instance-name ve instance-type değerlerini döndürür.

{
        "AccessKeyId": "****",
        "AccessKeySecret": "****",
        "Expiration": "2024-11-08T09:44:50Z",
        "SecurityToken": "****",
        "LastUpdated": "2024-11-08T03:44:50Z",
        "Code": "Success"
    }

SSS

• SSRF saldırısı nedir ve güvenlik sağlamlaştırma modu bunu nasıl engeller?

  SSRF, bir saldırganın sunucuyu yetkisiz ağ istekleri yapmaya zorlayarak meta veri hizmeti veya veritabanı gibi iç sistemlere erişmeye çalıştığı bir güvenlik açığıdır. Örneğin, saldırgan, uygulamayı hassas meta verileri getirmeye ve döndürmeye zorlamak için http://100.100.100.200/latest/meta-data/ içeren bir URL gönderebilir.

  Varsayılan olarak, ECS örnekleri belirteçsiz erişime izin verir (normal mod). Güvenlik sağlamlaştırma modu, belirteç doğrulamasını zorunlu kılar: İstemci öncelikle geçici bir belirteç almak için bir PUT isteği gönderir, ardından bu belirteci GET isteklerine ekler. SSRF saldırıları PUT isteği başlatamadığı için belirteç alamaz ve bu da yetkisiz erişimi etkili şekilde engeller.

• Güvenlik sağlamlaştırma modundayken örnek meta verilerine komutlarla erişemiyorum. Bunu nasıl düzeltirim?

  Yaygın komut hataları:

  • Örnek meta veri erişim kimlik bilgisinin TTL değeri geçersiz aralıkta (400 - Eksik veya Geçersiz Parametreler)

    TTL değeri 1 ila 21.600 saniye arasında olmalıdır. Bu aralığın dışındaki değerler 400 - Eksik veya Geçersiz Parametreler hatasını döndürür.

    curl -X PUT "http://100.100.100.200/latest/api/token" -H "X-aliyun-ecs-metadata-token-ttl-seconds: 21700"

  • İstekte X-Forwarded-For başlığı var (403 - Yasak)

    curl -X PUT "http://100.100.100.200/latest/api/token" -H "X-Forwarded-For: www.ba****.com"

  • Belirtilen örnek meta veri erişim kimlik bilgisi geçersiz (401 - Yetkisiz)

    curl -H "X-aliyun-ecs-metadata-token: aaa" -v http://100.100.100.200/latest/meta-data/

• Meta veri hizmetine yüksek frekanslı erişimim sınırlanırsa ne yapmalıyım?

  Meta veri hizmetinin hız sınırları vardır. instance-id gibi nadiren değişen öğeleri başlatma sırasında bir kez alın ve makul bir TTL ile yerel olarak önbelleğe alın.

• Örnek meta veri erişim modunu güvenlik sağlamlaştırma moduna değiştirdikten sonra uygulamam çalışmamaya başladı. Sorunu nasıl gideririm?

  Örnek üzerindeki bir uygulama veya betik hâlâ normal modu kullanıyor olabilir. Bunları denetlemek ve yükseltmek için Mevcut bir örneği yükseltme bölümüne bakın.

• Meta veri adresine yerel ana bilgisayardan erişebilir miyim?

  Hayır. 100.100.100.200 yalnızca bir ECS örneğinin sanal ağ arabirimi üzerinden erişilebilen bir bağlantı yerel adresidir. Örneğin dışından gelen istekler bu adrese yönlendirilemez.

• Özel bir görüntüden örnek oluştururken güvenlik sağlamlaştırma modunu seçemiyorsam ne yapmalıyım?

  Linux tabanlı özel bir görüntüden ECS örneği oluştururken Security Hardening Mode seçeneğinin kullanılamadığını görebilirsiniz. Bu, görüntünün gereksinimleri karşılamadığı anlamına gelir. Görüntüyü aşağıdaki gibi yükseltin:

  1. Geçici örnek oluşturun: Özel görüntüyü kullanarak geçici bir ECS örneği oluşturun.

  2. Geçici örneği değiştirin: Geçici örnek üzerinde aşağıdaki değişiklikleri gerçekleştirin. Mevcut bir örneği yükseltme bölümüne bakın.

     • Cloud-init'i yükseltin: Cloud-init'i 23.2.2 veya sonraki bir sürüme yükseltin.

     • Uygulamaları ve betikleri değiştirin: Normal modu kullanan tüm uygulamaları veya betikleri güvenlik sağlamlaştırma moduna güncelleyin.

  3. Yeni bir görüntü oluşturun ve özniteliklerini güncelleyin: Örneğinden yeni bir özel görüntü oluşturun. Ardından ModifyImageAttribute çağrısını yaparak Features.ImdsSupport değerini v2 olarak ayarlayın.

  4. Kaynakları serbest bırakın: Yeni görüntü oluşturulduktan sonra geçici örneği serbest bırakın.

• Kimlik Bilgileri aracı sürümlerinden hangileri güvenlik sağlamlaştırma modunu destekler?

  Kimlik Bilgileri aracının eski sürümleri güvenlik sağlamlaştırma modunda meta veri erişimini desteklemez. Mod değiştirilmeden önce araç yükseltilmezse, SDK STS belirteçlerini alamaz ve bu da hizmet kesintilerine neden olur.

  Mod değiştirilmeden önce Kimlik Bilgileri bağımlılığını desteklenen bir sürüme yükseltin:

  • Java: credentials-java sürümü >= 0.3.10.

  • Node.js: credentials sürümü >= 2.3.1.

  • PHP: credentials sürümü >= 1.2.0.

  • Python: alibabacloud_credentials sürümü >= 0.3.6.

  • Go: credentials-go sürümü >= 1.3.10.

• Bir ECS örneğine normal modda erişilip erişilmediğini nasıl tespit ederim?

  Normal modda meta veriye erişen işlemleri tespit etmek ve konumlandırmak için aşağıdaki yöntemleri kullanın.

  Yöntem 1: Normal mod erişimini denetlemek için CloudMonitor'u kullanma

  CloudMonitor konsolundaki ECS meta veri izleme verilerini inceleyerek örneğe normal modda erişilip erişilmediğini belirleyin.

  1. CloudMonitor konsoluna giriş yapın.

  2. Sol gezinme bölmesinde Cloud Resource Monitoring > Cloud Service Monitoring yolunu izleyin. ECS Metadata izleme sayfasını bulun ve gidin.

  3. Hedef örnek için Successful Normal Mode Accesses ölçümünü görüntüleyin.

  4. Bu ölçüm 0 değilse, örneğe normal modda erişilmektedir. Normal modu kullanan uygulamaları bulun ve yükseltin.

  Yöntem 2: Belirli bir süreci bulmak için Cloud Assistant eklentisini kullanma

  Normal modda meta verilere erişen işlemleri belirlemek için bir Cloud Assistant eklentisi kullanın.

  Desteklenen işletim sistemleri

  Alibaba Cloud Linux 3 Alibaba Cloud Linux 3 Pro Anolis OS 8 CentOS Stream 8/9 CentOS 8

  Ubuntu: 20/24 Debian:10,11,12 Fedora 35+ AlmaLinux 8/9 Rocky Linux 8/9

  Red Hat Enterprise Linux 8/9 Red Hat için bir RPM paketini indirip Cloud Assistant Agent’ı yükleyin. SUSE 15.1/15.2/15.3/15.4/15.5/15.6 OpenSuse 15.2/15.3/15.4/15.5/15.6

  Yordam

  1. Cloud Assistant eklentisini yükleyin ve etkinleştirin

     ECS örneğine oturum açın ve izleme hizmetini yükleyin. Bu hizmet, örnek kaynaklarının bir kısmını tüketir.

     # Deploy the monitoring service.
     sudo acs-plugin-manager --exec --plugin ACS-ECS-ImdsPacketAnalyzer
     
     # Check the status of the monitoring service.
     sudo systemctl status imds_tracer_tool

     [root@cockpit ~]# systemctl status imds_tracer_tool
     ● imds_tracer_tool.service - ImdsPacketAnalyzer IMDS detection tooling from Aliyun
        Loaded: loaded (/etc/systemd/system/imds_tracer_tool.service; enabled; vendor preset: disabled)
        Active: active (running) since Tue 2025-04-01 11:27:46 CST; 1 day 4h ago
      Main PID: 3549929 (python3)
         Tasks: 1 (limit: 3246596)
        Memory: 100.0M
        CGroup: /system.slice/imds_tracer_tool.service
                └─3549929 /bin/python3 /usr/local/share/aliyun-assist/plugin/ACS-ECS-ImdsPacketAnalyzer/1.0/src/imds_snoop.py
     
     Apr 02 15:58:34 cockpit python3[3549929]: [WARNING] imdsv1(!) (pid:3577803:curl argv:curl -s -o /dev/null --write-out 0.5 http://100.100.100.200) called by -> (pid:3565366:bash argv:
     Apr 02 15:58:34 cockpit python3[3549929]: [WARNING] imdsv1(!) (pid:3577804:curl argv:curl -s -o /dev/null --write-out 0.5 http://100.100.100.200) called by -> (pid:3565366:bash argv:
     Apr 02 15:58:34 cockpit python3[3549929]: [WARNING] imdsv1(!) (pid:3577805:curl argv:curl -s -o /dev/null --write-out 0.5 http://100.100.100.200) called by -> (pid:3565366:bash argv:
     Apr 02 15:58:34 cockpit python3[3549929]: [WARNING] imdsv1(!) (pid:3577806:curl argv:curl -s -o /dev/null --write-out 0.5 http://100.100.100.200) called by -> (pid:3565366:bash argv:
     Apr 02 15:58:34 cockpit python3[3549929]: [WARNING] imdsv1(!) (pid:3577807:curl argv:curl -s -o /dev/null --write-out 0.5 http://100.100.100.200) called by -> (pid:3565366:bash argv:
     Apr 02 15:58:34 cockpit python3[3549929]: [WARNING] imdsv1(!) (pid:3577808:curl argv:curl -s -o /dev/null --write-out 0.5 http://100.100.100.200) called by -> (pid:3565366:bash argv:
     Apr 02 15:58:34 cockpit python3[3549929]: [WARNING] imdsv1(!) (pid:3577809:curl argv:curl -s -o /dev/null --write-out 0.5 http://100.100.100.200) called by -> (pid:3565366:bash argv:
     Apr 02 15:58:34 cockpit python3[3549929]: [WARNING] imdsv1(!) (pid:3577810:curl argv:curl -s -o /dev/null --write-out 0.5 http://100.100.100.200) called by -> (pid:3565366:bash argv:

  2. Sorunlu süreci belirleyin Hâlâ normal modda meta verilere erişen işlemleri bulun. Günlükte işlem kimlikleri (PID’ler) gösterilir.

     cat /var/log/imds/imds-trace.* | grep WARNING

     [root@cockpit ~]# cat /var/log/imds/imds-trace.* | grep WARNING
     [2025-04-01 11:25:59,483] [WARNING] imdsv1(!) (pid:3534140:acs-plugin-mana argv:acs-plugin-manager --exec --plugin acs-ecs-imdspacketanalyzer) called by -> (pid:3534138:sudo argv:sudo acs-plugin-manager --exec --plugin acs-ecs-imdspacketanalyzer) -> (pid:3533211:bash argv:-bash) -> (pid:3533208:sshd argv:sshd: root@pts/0) req details: get /latest/meta-data/instance-id http/1.1, host: 100.100.100.200, user-agent: linux_386/2.2.4.920, content-type: application/x-www-form-urlencoded, accept-encoding: gzip,
     [2025-04-01 11:25:59,483] [WARNING] imdsv1(!) (pid:3534140:acs-plugin-mana argv:acs-plugin-manager --exec --plugin acs-ecs-imdspacketanalyzer) called by -> (pid:3534138:sudo argv:sudo acs-plugin-manager --exec --plugin acs-ecs-imdspacketanalyzer) -> (pid:3533211:bash argv:-bash) -> (pid:3533208:sshd argv:sshd: root@pts/0) req details: get /latest/meta-data/instance-id http/1.1, host: 100.100.100.200, user-agent: linux_386/2.2.4.920, content-type: application/x-www-form-urlencoded, accept-encoding: gzip,
     [root@cockpit ~]#

  3. Analiz edin ve değiştirin PID’lere karşılık gelen uygulamaları veya betikleri bulun ve bunları güvenlik sağlamlaştırma moduna yükseltin.