禁用AMQP配置中的明文身份驗證機制--漏洞解決方法

RABBITMQ漏洞描述：

遠程高級消息隊列協議（AMQP）服務支持一種或多種允許以明文形式發送憑據的身份驗證機制。

修改建議：

禁用AMQP配置中的明文身份驗證機制。

具體操作

修改rabbitmq配置文件，把auth_mechanisms的默認配置修改為：EXTERNAL即可解決該問題。

下面是關於docker-compose安裝rabbitmq的修改方式，其他安裝修改方式可以查看如下連接：https://blog.csdn.net/zmlsh/article/details/108940472

步驟

1.docker-compose文件修改，要把配置文件掛載在主機目錄，主要增加：- ./conf/rabbitmq:/etc/rabbitmq 這個配置

version: '3.1'
​
services:
 rabbitmq:
   image: rabbitmq:3.8.3
   restart: always
   container_name: rabbitmq
   ports:
     - 5672:5672
     - 15672:15672
   volumes:
     - ./data/rabbitmq:/var/lib/rabbitmq
     - ./conf/rabbitmq:/etc/rabbitmq
​

2.在掛載目錄/conf/rabbitmq下面，創建文件rabbitmq.conf，粘貼如下內容進去，主要是增加：auth_mechanisms.3 = EXTERNAL這個配置，表示不使用明文身份認證

loopback_users.guest = false
listeners.tcp.default = 5672
management.tcp.port = 15672
auth_mechanisms.3 = EXTERNAL

3.重啟容器，測試，進入到rabbitmq容器里面，通過命令rabbitmqctl environment查看

[root@yc rabbitmq]# docker restart rabbitmq
[root@yc rabbitmq]# docker exec -it rabbitmq bash
root@7cfd154a5da3:/# rabbitmqctl environment

在下圖位置看到相應的配置， {auth_mechanisms,['EXTERNAL']}，則表示配置生效