禁用AMQP配置中的明文身份验证机制--漏洞解决方法

RABBITMQ漏洞描述：

远程高级消息队列协议（AMQP）服务支持一种或多种允许以明文形式发送凭据的身份验证机制。

修改建议：

禁用AMQP配置中的明文身份验证机制。

具体操作

修改rabbitmq配置文件，把auth_mechanisms的默认配置修改为：EXTERNAL即可解决该问题。

下面是关于docker-compose安装rabbitmq的修改方式，其他安装修改方式可以查看如下连接：https://blog.csdn.net/zmlsh/article/details/108940472

步骤

1.docker-compose文件修改，要把配置文件挂载在主机目录，主要增加：- ./conf/rabbitmq:/etc/rabbitmq 这个配置

version: '3.1'
​
services:
  rabbitmq:
    image: rabbitmq:3.8.3
    restart: always
    container_name: rabbitmq
    ports:
      - 5672:5672
      - 15672:15672
    volumes:
      - ./data/rabbitmq:/var/lib/rabbitmq
      - ./conf/rabbitmq:/etc/rabbitmq
​

2.在挂载目录/conf/rabbitmq下面，创建文件rabbitmq.conf，粘贴如下内容进去，主要是增加：auth_mechanisms.3 = EXTERNAL这个配置，表示不使用明文身份认证

loopback_users.guest = false
listeners.tcp.default = 5672
management.tcp.port = 15672
auth_mechanisms.3 = EXTERNAL

3.重启容器，测试，进入到rabbitmq容器里面，通过命令rabbitmqctl environment查看

[root@yc rabbitmq]# docker restart rabbitmq
[root@yc rabbitmq]# docker exec -it rabbitmq bash
root@7cfd154a5da3:/# rabbitmqctl environment

在下图位置看到相应的配置， {auth_mechanisms,['EXTERNAL']}，则表示配置生效