面试、实际可能遇到Nacos，感觉算是冷门又时不时出现，漏洞较易复现
还是得以后一个个实操，不然看一个忘一个
alibaba/nacos: an easy-to-use dynamic service discovery, configuration and service management platform for building AI cloud native applications. 什么是Nacos，阿里出的关于；可以根据这个GitHub链接、官网及文档对其作用、部署、配置有一个了解
我们直接按照上面的时间顺序进行分析：
未授权访问：
弱口令：nacos/nacos
将User-Agent: 更改为 Nacos-Server 即可绕过身份认证，进而实现新增用户的接口利用
配置文件中存在默认jwt签名密钥，先学jwt的相关利用
Vulhub有两个可以直接搭建复现的漏洞：
【Nacos未授权访问漏洞（CVE-2021-29441）复现】_cve-2021-29442-CSDN博客
Nacos常见漏洞简介 ｜ Nacos安全漏洞全系列复现 | 高木のBlog 整体梳理了nacos相关漏洞
值得复现关注的漏洞：
nacos Hessian反序列化漏洞
c0olw/NacosRce: Nacos JRaft Hessian 反序列化 RCE 加载字节码 注入内存马 不出网利用
Nacos Derby sql 注入，需要了解Derby数据相关知识，嵌入式