本文目录导读：
Grafana未授权访问？别慌！这漏洞我踩过坑,教你三招守住大屏！
哎，兄弟们，说到Grafana，我这心里真是又爱又恨啊！咱搞运维的，谁没拿它做过几个炫酷的大屏监控？CPU曲线、业务流量、数据库连接池……一目了然，爽是爽，但！是！最近圈子里疯传的“Grafana未授权访问”漏洞，真让人头皮发麻，你说辛辛苦苦搭好的可视化平台，结果门没锁好，陌生人溜进来不光偷看数据，还能乱改配置，那感觉就像自家客厅被翻了个底朝天,搁谁谁不气？
这“未授权”到底是个啥鬼样子？
我之前在测试环境就栽过跟头，那会儿图省事，Grafana版本有点老，配置文件里 auth.anonymous 给我设成了 true，当时想的是：“内网环境，怕啥？” 结果好家伙，某天登录后台，发现用户列表里多了一个名为“test”的账号，权限还是Admin！那一瞬间，我后背是发凉的。这就是典型的Grafana未授权访问——攻击者绕过登录，直接利用默认配置或已知CVE（比如CVE-2021-43798目录遍历），直接摸到你的数据源，甚至能执行SQL语句，你说可怕不可怕？这不是“未修复”，这是“未设防”啊！
我一哥们儿的血泪教训（这操作给我看愣了）
上周，一个熟悉的QQ群友吐槽，他们公司的Grafana版本是8.3.6（朋友，知道这版本有问题不？），结果怎着？被扫描到 /public/plugins/ 路径存在任意文件读取漏洞，攻击者用脚本直接读了 /etc/passwd，还在团队聊天里炫耀“你们服务器的用户列表挺全啊”，我朋友当时气得冒烟：“这玩意儿比直接删库还恶心，属于那种‘无声无息的流氓’！” 他后来跟我复盘，症结就在于：漏洞库更新不及时 + 默认配置没夯实，你想想，Grafana插件面板那么多，一个个暴露在公网,这不就是给黑客递刀子嘛！
别慌！咱有“三步锁门法” （亲测有效，语气坚定）
碰到这情况，先别自己吓唬自己，我这边有一个接地气的排查流程，你照着做,心里就有底了：
-
第一步：立刻查配置（动作要快） 打开你的
custom.ini或grafana.ini，重点看[auth.anonymous]块。必须确保enabled = false！还有，[users]下allow_sign_up也给我关掉，顺手检查一下[server]里的root_url，别用IP直连，用域名加SSL，这是基本体面，做完这一步,就等于把大门锁死了。 -
第二步：升级！升级！升级！（重要的事情说三遍） 别守着老版本当传家宝，去官网看看，当前稳定版是哪个？我记得Grafana 9.x之后，对认证模块做了大改动，尤其是加强了API Key的管理和审计日志。升级后，一定记得清一下浏览器缓存和Cookie,别让旧的session串了味。
-
第三步：用反向代理“隐身”（这招最妙） 把Grafana藏到Nginx后面，只允许VPC内网访问，在Nginx层面加一层Basic Auth，这相当于给Grafana穿了件“防弹背心”，我自己的实践是，再配合一条IP白名单规则，只放行公司的出口IP，这样一来，即使Grafana本身有漏洞，攻击者连第一道门都摸不着,你说是不是妙极了？
事后复盘（语气缓和下来，带点叮嘱）
说真的，Grafana未授权访问这个问题，咱真不能当成“必经之路”去硬扛，安全建设必须前置，我现在每次做完大屏，都得自己用curl模拟一次未登录访问，看到返回302跳转登录页,心里才踏实。
万幸的是，现在越来越多朋友开始重视这块。任何监控工具都只是眼睛，真正能牵制住风险的是你的安全意识。
如果本文对你有启发，或者你最近也被某漏洞折腾得头大，欢迎加我的QQ一起交流：3214434567（备注“Grafana”），我们聊聊攻防那些事,比一个人死磕强多了！
附加建议： 建议你把这篇文章收藏起来，下次评估风险时，直接翻出来对照自查，维护好监控大屏，更要看好自家数据门锁,咱们下期再聊。
