Springboot Actuator未授权访问漏洞复现

最新推荐文章于 2025-04-29 22:54:31 发布
最新推荐文章于 2025-04-29 22:54:31 发布
阅读量1.2w 收藏 22
点赞数 5
分类专栏： 漏洞复现 文章标签： spring boot 乌鸦安全 未授权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/csdnmmd/article/details/126088188
版权

更新时间：2022.07.20

微信公众号：乌鸦安全

image.png

1. 漏洞介绍

Spring Boot Actuator 模块提供了生产级别的功能，比如健康检查，审计，指标收集，HTTP 跟踪等，帮助监控和管理Spring Boot 应用。这个模块是一个采集应用内部信息暴露给外部的模块，上述的功能都可以通过HTTP 和 JMX 访问。（来源：https://mp.weixin.qq.com/s/qY-hBSa9u62TNB4-A4RZ9Q）
Actuator是Spring Boot提供的应用系统监控的开源框架。在攻防场景里经常会遇到Actuator配置不当的情况，攻击者可以直接下载heapdump堆转储文件，然后通过一些工具来分析heapdump文件，从而可进一步获取敏感信息。（来源：https://mp.weixin.qq.com/s/qY-hBSa9u62TNB4-A4RZ9Q）

2. 漏洞环境搭建

搭建环境：windows10 + java1.8
可以直接按照命令进行操作，但是在环境搭建中，可能会遇到一定的问题：

git clone https://github.com/callicoder/spring-boot-actuator-demo.git
cd spring-boot-actuator-demo-master
mvn package
java -jar target/actuator-demo-0.0.1-SNAPSHOT.jar

mvn的安装，可以百度下，比较容易。
执行mvn package
image.png
此时出现报错：
image.png
因为我们使用的没有IDE，所以在这可以用这个方法：
https://blog.youkuaiyun.com/qq_39323945/article/details/125110368
image.png

其他的方法可能不是很合适。继续编译，等待一会之后，编译成功：
image.png

然后启动环境：java -jar target/actuator-demo-0.0.1-SNAPSHOT.jar

image.png

访问当前的ip信息：http://10.211.55.5:8080/

image.png

此时环境搭建完成。

3. 漏洞利用

3.1 漏洞发现

一般来说，这种可以通过扫描工具发现漏洞，在这里可以用fscan来试试：
./fscan_darwin -h 10.211.55.5
image.png
在这里可以发现有两个漏洞：

[+] http://10.211.55.5:8080 poc-yaml-springboot-env-unauth spring2
[+] http://10.211.55.5:8080 poc-yaml-spring-actuator-heapdump-file

3.2 利用方法

来源：https://mp.weixin.qq.com/s/qY-hBSa9u62TNB4-A4RZ9Q
Actuator 存在两个版本

1.x版本

/configprops # 显示所有@ConfigurationProperties
/env # 公开 Spring 的ConfigurableEnvironment
/health # 显示应用程序运行状况信息
/httptrace # 显示 HTTP 跟踪信息
/metrics # 显示当前应用程序的监控指标信息。
/mappings # 显示所有@RequestMapping路径的整理列表
/threaddump # 线程转储

/heapdump # 堆转储
/jolokia # JMX-HTTP桥,它提供了一种访问JMX beans的替代方法

2.x版本

/actuator/configprops # 显示所有@ConfigurationProperties
/actuator/env # 公开 Spring 的ConfigurableEnvironment
/actuator/health # 显示应用程序运行状况信息
/actuator/httptrace # 显示 HTTP 跟踪信息
/actuator/metrics # 显示当前应用程序的监控指标信息。
/actuator/mappings # 显示所有@RequestMapping路径的整理列表
/actuator/threaddump # 线程转储
/actuator/heapdump # 堆转储
/actuator/jolokia # JMX-HTTP桥,它提供了一种访问JMX beans的替代方法

3.2 springboot-env-unauth

公开 Spring 的ConfigurableEnvironment
http://10.211.55.5:8080/actuator/env

image.png

http://10.211.55.5:8080/actuator/configprops

image.png

2.3 spring-actuator-heapdump

其实在实战中，最重要的就是heapdump文件，在这里文件里面理论上可以发现很多敏感的数据库之类的信息。
http://10.211.55.5:8080/actuator/heapdump
该文件可以直接下载到本地来，使用专业工具进行解密；
专业工具地址：https://github.com/wyzxxz/heapdump_tool
使用方法：java -jar heapdump_tool.jar heapdump
image.png

在这里选择1，然后搜索关键字：

image.png

当然，在这个环境中，暂时没有发现什么敏感信息，但是在实战里面，有概率是可以发现敏感数据的：

image.png

4. 总结

关于其他的工具来获取明文信息的，可以参考一下链接：
https://mp.weixin.qq.com/s/JKq4WxFKwh7IDIAqTKcTHw

web渗透测试漏洞复现：Springboot Actuator未授权漏洞复现
HACKONE的博客
03-28 4322
pring Boot Actuator 是 Spring Boot 框架中非常重要的一个模块，设计用于增强应用程序在生产环境中的可观察性和管理能力。Actuator 提供了一系列内建的端点（Endpoints），这些端点可通过 HTTP 或 JMX 接口暴露应用的健康状况、度量指标、审计信息、环境属性、 Beans 列表等多种内部状态信息。
springboot未授权漏洞(漏洞复现Springboot未授权访问及修复)
热门推荐
计算机毕业论文源码，学生个人网页制作html源码。贴近用户做网络推广和互联网优化。
04-13 3万+
1、springboot未授权漏洞问题描述，Actuator 是Springboot提供的用来对应用系统进行自省和监控的功能模块，借助于Actuator开发者可以很方便地对应用系统某些监控指标进行查看、统计等。 Actuator 的核心是端点 Endpoint，它用来监视应用程序及交互，spring-boot-actuator 中已经内置了非常多的Endpoint（health、info、beans、metrics、httptrace、shutdown等等），同时也允许我们自己扩展自己的Endpoints。
springboot未授权访问&CVE-2014-3566
qq_42430287的博客
02-23 694
springboot actuator未授权访问 Spring Boot 1.x版本端点在根URL下注册 /autoconfig 提供了一份自动配置报告，记录哪些自动配置条件通过了，哪些没通过 /beans 描述应用程序上下文里全部的Bean，以及它们的关系 /env 获取全部环境属性 /configprops 描述配置属性(包含默认值)如何注入Be...
SpringBoot Actuator未授权访问漏洞的全面解析与解决方案
最新发布
Arvin627的博客
04-29 1544
引言SpringBoot Actuator 作为应用监控与管理的核心组件，为开发者提供了丰富的系统自省和运维能力。然而，其默认配置中可能存在的未授权访问漏洞，已成为企业安全防护的潜在风险。本文将从漏洞原理、影响范围、检测方法到解决方案，系统性地剖析该问题，并提供覆盖开发、运维、安全等多维度的防护策略，助力构建安全可靠的SpringBoot应用体系。
漏洞复现 - - - Springboot未授权访问
qq_44005305的博客
03-09 3575
从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。因为入门学习阶段知识点比较杂，所以我讲得比较笼统，大家如果有不懂的地方可以找我咨询，我保证知无不言言无不尽，需要相关资料也可以找我要，我的网盘里一大堆资料都在吃灰呢。干货主要有：①1000+CTF历届题库（主流和经典的应该都有了）②CTF技术文档（最全中文版）③项目源码（四五十个有趣且经典的练手项目及源码）
Springboot Actuator未授权访问漏洞
weixin_53736204的博客
08-05 632
Actuator 是 springboot 提供的用来对应用系统进行自省和监控的功能模块，借助于 Actuator 开发者可以很方便地对应用系统某些监控指标进行查看、统计等。在 Actuator启用的情况下，如果没有做好相关权限控制，非法用户可通过访问默认的执行器端点(endpoints)来获取应用系统中的监控信息，从而导致信息泄露甚至服务器被接管的事件发生。Actuator 是 springboot 提供的用来对应用系统进行自省和监控的功能模块。步骤二:拼接以下路径查看泄露的数据.
SpringbootActuator未授权访问漏洞
web_15534274656的博客
03-10 1168
Actuator 是 SpringBoot 提供的用来对应用系统进行自省和监控的功能模块，借助于 Actuator 开发者可以很方便地对应用系统某些监控指标进行查看、统计等。然而，其默认配置会出现接口未授权访问，导致部分接口会泄露网站数据库连接信息等配置信息，使用Jolokia库特性甚至可以远程执行任意代码，获取服务器权限。
SpringBoot Actuator未授权访问漏洞修复
JHIII的博客
08-25 2万+
目前SpringBoot得框架，越来越广泛，大多数中小型企业，在开发新项目得时候。后端语言使用java得情况下，首选都会使用到SpringBoot。在很多得一些开源得框架中，例如: ruoyi若以，这些。不知道是出于什么原因？我们都会在这些框架中得pom文件中找到的依赖。嘿，这Actuator估计很多人都没有真真实实使用过，但是就会出现在pom文件中；这样导致，在做一些安全漏洞测试的时候，会出现漏洞问题。例如下面：对于这些漏洞，我们开始修复喽！！！
springboot Actuator未授权访问漏洞
qq_45382625的博客
08-29 1138
Spring Boot 2.X 中，Actuator 默认开放 health 和 info 两个端点，如果需要配置开放所有端点（配置值为 "*" 代表所有）
Spring Boot Actuator未授权访问漏洞
SummerGao
12-03 4401
Spring Boot Actuator是Spring Boot提供的一个用于对应用系统进行自省和监控的功能模块。它允许开发者通过暴露的端点（Endpoints）来查看和交互应用系统的各种指标和配置信息，如健康检查、环境属性、线程转储、HTTP追踪等。这些端点对于开发者在开发、测试以及生产环境中监控和管理应用非常有用。
SpringBoot Actuator敏感接口未授权访问漏洞
qq_48550824的博客
01-08 1795
Springboot Actuator未授权访问漏洞复现-腾讯云开发者社区-腾讯云 Spring Boot Actuator未授权访问漏洞利用_spring boot actuator unauthorized access-优快云博客 springboot actuator未授权访问 - 安全课-信仰 - 博客园
springboot actuator未授权修复建议
01-28
### 如何修复Spring Boot Actuator未授权访问漏洞 #### 启用安全认证机制 为了防止未经授权的访问，可以在`application.properties`文件中启用安全管理并设置用户名和密码。这可以通过以下配置实现[^2]： ```properties management.security.enabled=true spring.security.user.name=admin spring.security.user.password=admin ``` 上述配置确保只有拥有正确凭证的用户才能访问敏感端点。 #### 配置HTTP Basic Authentication 除了简单的用户名/密码保护外，还可以进一步增强安全性，比如采用基于角色的安全控制以及更复杂的验证逻辑。对于基本的身份验证需求，可以依赖于Spring Security框架来实施HTTP Basic AuthN/Z策略。下面是一个简单的Java配置类示例，用于激活基础身份验证： ```java import org.springframework.context.annotation.Configuration; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity; import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter; @Configuration @EnableWebSecurity public class WebSecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http .authorizeRequests() .antMatchers("/actuator/**").authenticated() // 要求对所有 actuator URL 进行身份验证 .and() .httpBasic(); // 使用 HTTP 基本身份验证 } } ``` #### 屏蔽不必要的Actuator端点 当不需要某些特定的功能时，可以选择完全禁用这些端点以减少攻击面。例如，要阻止除健康状态(`/health`)之外的所有请求，可在属性文件里做如下设定[^3]： ```properties management.endpoints.web.exposure.include=health,info ``` 这样就仅暴露了指定的服务监控信息给外部调用者，而其他管理操作则保持隐藏不可见的状态。 #### 实施细粒度权限控制 针对不同类型的用户提供差异化的访问级别也是一种有效的防护措施。通过定义自定义的角色映射关系，并将其应用于具体的资源路径上，能够更加精准地管控谁有权执行哪些动作。具体做法是在`HttpSecurity`对象内添加更多细致入微的规则集。 ---
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值