spring boot actuator 未授权访问（env泄露redis密码）-Toy模板网

这篇具有很好参考价值的文章主要介绍了spring boot actuator 未授权访问（env泄露redis密码）。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

Actuator

Actuator是Spring Boot提供的服务监控和管理中间件，默认配置会出现接口未授权访问，部分接口会泄露网站流量信息和内存信息等，使用Jolokia库特性甚至可以远程执行任意代码，获取服务器权限。

/dump - 显示线程转储（包括堆栈跟踪）
/autoconfig - 显示自动配置报告
/configprops - 显示配置属性
/trace - 显示最后几条HTTP消息（可能包含会话标识符）
/logfile - 输出日志文件的内容
/shutdown - 关闭应用程序
/info - 显示应用信息
/metrics - 显示当前应用的’指标’信息
/health - 显示应用程序的健康指标
/beans - 显示Spring Beans的完整列表
/mappings - 显示所有MVC控制器映射
/env - 提供对配置环境的访问
/restart - 重新启动应用程序

渗透过程

访问浏览器访问actuator
spring boot actuator 未授权访问（env泄露redis密码）
访问env获取到敏感信息redis服务器地址以及口令

尝试连接redis服务服务器127.0.0.1:30008，端口拒绝访问，goby扫描redis真实端口31626

使用工具Another Redis Desktop Manager连接redis服务器，如图连接成功
spring boot actuator 未授权访问（env泄露redis密码）

漏洞风险

当 Spring Boot 应用程序运行时，它会自动将多个端点注册到路由进程中。而由于对这些端点的错误配置，就有可能导致一些系统信息泄露、XXE、甚至是 RCE 等安全问题。

修复建议

引入spring-boot-starter-security依赖，在application.properties中指定actuator的端口以及开启security功能，配置访问权限验证，这时再访问actuator功能时就会弹出登录窗口，需要输入账号密码验证后才允许访问。文章来源地址https://www.toymoban.com/news/detail-508886.html

到了这里，关于spring boot actuator 未授权访问（env泄露redis密码）的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！