01 Druid未授权错误及解决方案

目录

1 问题描述

2 解决方案

2.1 处理思路

2.2 具体操作

3 过程中遇到困难

---

Druid是阿里巴巴数据库出品的，为监控而生的数据库连接池，并且Druid提供的监控功能，监控SQL的执行时间、监控Web URI的请求、Session监控，首先Druid是不存在什么漏洞的。但当开发者配置不当时就可能造成未授权访问。

1 问题描述

直接在网站的url中后加上：/druid/index.html

如果可以无需登录，即可登录到Druid监控界面，则说明该网站存在Druid未授权访问漏洞！

如果没有安全漏洞，则要么是出现登录界面，要么直接弹Whitelabel Error Page错误了。

危害：

监控界面会显示数据源，sql监控，sql防火墙，web应用，url监控，session监控，spring监控等信息，可以详细监控该网站的情况，获取敏感信息，攻击者无需登录即可直接获取这些信息。如果有Druid未授权漏洞，则可能会造成数据泄露、服务器失陷等危害。

2 解决方案

2.1 处理思路

这类Druid未授