<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[niceling_99的博客]]></title><description><![CDATA[生命不止,折腾不休]]></description><link>https://blog.youkuaiyun.com/niceling_99</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; niceling_99]]></copyright><item><title><![CDATA[Druid未授权访问漏洞小记]]></title><link>https://blog.youkuaiyun.com/niceling_99/article/details/120966876</link><guid>https://blog.youkuaiyun.com/niceling_99/article/details/120966876</guid><author>niceling_99</author><pubDate>Tue, 26 Oct 2021 10:28:03 +0800</pubDate><description><![CDATA[漏洞说明：Druid是阿里巴巴数据库出品的，为监控而生的数据库连接池，并且Druid提供的监控功能，监控SQL的执行时间、监控Web URI的请求、Session监控，首先Druid是不存在什么漏洞的。但当开发者配置不当时就可能造成未授权访问.

直接在网站的url中后加上：
/druid/index.html
如果可以无需登录，即可登录到Druid监控界面，则说明该网站存在Druid未授权访问漏洞！
下面是某次实测时发现的未授权访问漏洞实例：



解决方法：

在配置文件中禁用druid监控页或添加用户]]></description><category></category></item></channel></rss>