主机与服务风险面53 条

Consul 未授权访问风险

Consul 提供 HTTP API（8500）、DNS 接口（8600）与集群端口（8300-8302）；ACL 未启用时可读取服务目录、KV 数据，甚至注册恶意服务。

加固要点

1. 启用 ACL 系统并设置默认 deny
2. 8500/8600 绑定管理网卡，不暴露公网
3. 启用 gossip 加密与 TLS（verify_incoming/outgoing）
4. UI 入口加认证与来源白名单

curl -s --max-time 3 http://<目标IP>:8500/v1/status/leader
# 返回 leader 地址说明 API 可达；结合 ACL 配置判断是否受控

DNS 接口（8600）常被忽略：未授权时同样可以枚举服务拓扑。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌