【web安全】Spring boot heapdump获取信息

最新推荐文章于 2025-05-20 14:37:32 发布
最新推荐文章于 2025-05-20 14:37:32 发布
阅读量776 收藏
点赞数
CC 4.0 BY-SA版权
文章标签： web安全 spring boot java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/text2204/article/details/128383978
本文探讨了Spring Boot Actuator在配置不当的情况下可能导致的信息泄露问题，特别是无鉴权获取堆转储文件的风险。通过识别版本差异，选择合适的分析工具如JDK自带的JVisualVM，使用OQL查询语言定位敏感信息。文章强调了堆转储文件可能暴露的后台密码和数据库密码，并提供了防控措施，包括代码审计、安全路径扫描以及正确配置Actuator以增强安全性。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

一、概述

微服务是目前较为热门的技术，Spring boot 是 Spring 的一套快速配置脚手架，可以基于Spring boot 快速开发单个微服务，微服务的特点决定了功能模块分布式部署，在不同的机器上相互通过服务调用进行交互，业务流会经过多个微服务的处理和传递。

​       多个微服务下，微服务的监控显得尤为重要。Actuator组件为Spring Boot提供对应用系统的监控和管理的集成功能，可以查看应用配置的详细信息，例如自动化配置信息、创建的Spring beans信息、系统环境变量的配置信以及Web请求的详细信息等。

​       如果Actuator使用不当或者一些不经意的疏忽，可能造成信息泄露等严重的安全隐患。/heapdump作为Actuator组件最为危险的Web接口，如Actuator配置不当，攻击者可无鉴权获取heapdump堆转储文件，分析heapdump堆转储文件进一步获取敏感信息。

​       Actuator 用来对应用系统进行自省和监控的功能模块，其提供的执行器端点分为两类：

​       1.原生端点

​       2.用户自定义扩展端点

原生端点主要有：

HTTP 方法 路径 描述
GET /dump 获取当前应用的所有线程dump情况。当出现内存占用过高等情况下，可以帮助分析线程的使用情况，帮助定位问题。
GET /heapdump 堆转储文件
GET /env 获取全部环境属性
GET /env/{name} 根据名称获取特定的环境属性值
GET /autoconfig 提供了一份自动配置报告，记录哪些自动配置条件通过了，哪些没通过
GET /configprops 描述配置属性（包含默认值）如何注入 Bean
GET /beans 描述应用程序上下文里全部的 Bean，以及它们的关系
GET /health 报告应用程序的健康指标，这些值由 HealthIndicator 的实现类提供
GET /info 获取应用程
最低0.47元/天 解锁文章

200万优质内容无限畅学
万天峰
关注
Spring Boot内存转储（heapdump）的安全性及敏感信息保护
YtyVerilog的博客
09-22 1938
本文将讨论Spring Boot应用程序中的内存转储（heapdump）文件的安全性问题，并提供相应的源代码示例。通过禁用自动Heap Dump、自定义生成路径以及加密Heap Dump文件，我们可以降低敏感信息泄露的风险。通过禁用自动heapdump、定制生成路径以及加密heapdump文件，我们可以降低敏感信息泄漏的风险。本文将讨论Spring Boot应用程序中Heap Dump文件的安全性问题，并提供相关的源代码示例。可以在应用程序启动时调用该方法，对生成的Heap Dump文件进行加密保护。
【web安全】Spring boot heapdump获取敏感信息
HBohan的博客
03-14 4520
一、概述 微服务是目前较为热门的技术，Spring boot 是 Spring 的一套快速配置脚手架，可以基于Spring boot 快速开发单个微服务，微服务的特点决定了功能模块分布式部署，在不同的机器上相互通过服务调用进行交互，业务流会经过多个微服务的处理和传递。 ​ 多个微服务下，微服务的监控显得尤为重要。Actuator组件为Spring Boot提供对应用系统的监控和管理的集成功能，可以查看应用配置的详细信息，例如自动化配置信息、创建的Spring beans信息、系统环境变量的配置信
Spring boot heapdump获取信息
yggcwhat
05-01 5298
Spring boot heapdump获取信息
Springboot信息泄露以及heapdump的利用
热门推荐
LiBai'S BLOG
10-12 3万+
努力是为了不平庸~安全有些时候是枯燥的，这一次，让我们先人一步，趣学渗透！
生产环境添加-XX:+HeapDumpOnOutOfMemoryError参数后JVM 默认生成的 Heap Dump 文件（内存快照）路径
最新发布
weixin_37944816的博客
05-20 483
Heap Dump 文件大小通常接近 JVM 堆的最大值（如。如果程序是通过命令行启动的，默认路径通常是执行。：确保目标目录有足够空间，否则会生成失败。并确保目录可写，是生产环境的基本要求。：自动替换为时间戳（避免文件名冲突）。指定路径，否则容器重启后文件丢失。参数时，如果没有显式指定路径 (：永远不要依赖默认路径！：确保 JVM 有写入权限（如。：推荐，支持可视化分析内存泄漏。Heap Dump 会生成在。时可能生成 4GB 文件）。：自动替换为进程 PID。)，JVM 默认生成的。
生成 Heap Dump 的几种方式
jijianshuai的专栏
01-22 2万+
Heap Dump 概述 Heap Dump 是 Java进程所使用的内存情况在某一时间的一次快照。以文件的形式持久化到磁盘中。 Heap Dump的格式有很多种，而且不同的格式包含的信息也可能不一样。但总的来说，Heap Dump一般都包含了一个堆中的Java Objects, Class等基本信息。同时，当你在执行一个转储操作时，往往会触发一次GC，所以你转储得到的文件里包含的信息通常是有
springboot应用，cpu高、内存高问题排查
qq_39839075的博客
12-13 6060
回顾一下整个排查过程,有几个点说一下1)、写方法一定要注意动态的情况,比如此例中,数据后期增长的情况,不能只考虑当时的数据。2)、有个疑问,就算对象不可达了,正常来说也可以从MAT里看到点相关东西才对,但是翻了很久,啥也没看到,MAT的使用还要再看看,感觉是遗漏了细节3)、还有个疑问,虽然对象确实很大,但是可以回收,那rancher上看到的内存为啥还会这么高呢?这也是一个疑问点,需要找时间了解一下rancher。
linux下对java程序生成dump文件
u010574904的博客
06-25 2131
生成dump文件
Spring heapdump 敏感信息查找
酉酉的博客
07-12 3699
spring-boot-actuator模块提供了所有的生产状态下的所有功能发现一个 开放在互联网中，并且能下载搜索到env存在敏感数据，class路径为，密码为脱敏的*星号，可以通过专门的分析软件进行明文的查找使用工具Eclipse Memory Analyzer（MAT）下载地址，对heapdump文件进行分析访问URL下载heapdump文件, 使用MAT打开heapdump文件选择使用OQL进行查询。heapdump_tool 工具查找...
可造成敏感信息泄露！Spring Boot之Actuator信息泄露漏洞三种利用方式总结
m0_74822999的博客
01-06 1274
Spring Boot是一个基于Spring的套件，它提供了一个即开即用的应用程序架构，可以简化Spring应用的创建及部署流程，帮助开发者更轻松快捷地构建出企业及应用。Spring Boot项目中Actuator模块提供了众多HTTP接口端点（Endpoint），来提供应用程序运行时的内部状态信息。可以使用http、jmx、ssh、telnet等来管理和监控应用。包括应用的审计（Auditing）、健康（health）状态信息、数据采集（metrics gathering）统计等监控运维的功能。
Spring Boot 未授权访问漏洞利用
bmaoHk的博客
10-04 3330
Spring Boot是由Pivotal团队提供的一套开源框架，可以简化spring应用的创建及部署。它提供了丰富的Spring模块化支持，可以帮助开发者更轻松快捷地构建出企业级应用。Spring Boot通过自动配置功能，降低了复杂性，同时支持基于JVM的多种开源框架，可以缩短开发时间，使开发更加简单和高效，在应用系统中占比较大。因此当某些端点存在配置不当的时候，就有可能导致一些系统信息泄露、 RCE 等安全问题。● Spring Boot 1.x版本端点在根URL下注册。
JMV内存hprof文件分析
one
12-16 1万+
文章目录前言一、JVM 参数配置二、伪代码示例三、error log三.hprof文件分析总结 前言 最近项目并发访问的时候日志有OutOfMemoryError,随即分析一下JVM hprof文件，复刻内存泄漏的问题 一、JVM 参数配置 -XX:+HeapDumpOnOutOfMemoryError 导出内存溢出的堆信息(hprof文件)） -XX:HeapDumpPath= 导出内存溢出的堆信息(hprof文件)）路径 1. =./ 相对路径 2. =/Users/hjk/IdeaPro
java hprof文件_JVM性能调优监控工具hprof使用详解
weixin_35925298的博客
02-16 4699
一、问题现状现实企业级Java开发中，有时候我们会碰到下面这些问题：OutOfMemoryError，内存不足内存泄露线程死锁锁争用(Lock Contention)Java进程消耗CPU过高……这些问题在日常开发中可能被很多人忽视(比如有的人遇到上面的问题只是重启服务器或者调大内存，而不会深究问题根源)，但能够理解并解决这些问题是Java程序员进阶的必备要求。本文将对一些常用的JVM性能调优监控...
渗透测试-Spring Heapdump利用技巧
cdyunaq的博客
03-29 1万+
在某次项目当中发现了一个spring boot的heapdump泄露，无法使用常见的mat分析工具打开。在逛github的时候发现了一个比较好的工具，可对该heapdump提取密码，并且该工具的其他功能比较新颖，打开了heapdump的新玩法。 heapdump_tool：https://github.com/wyzxxz/heapdump_tool 运行环境：java 8 基础使用流程 java -jar heapdump_tool.jar 上面提到两种模式： 1）(search data
JVM 堆栈信息保存与分析
yzh_1346983557的博客
11-01 6422
Problem Suspect --> Details(Description、Shortest Paths To the Accumulation Point、Accumulated Objects in Dominator Tree等等)左上角 File --> Open Heap Dump --> Leak Suspects Report（泄漏可疑报告）：为GC日志文件添加启动时间戳后缀，格式为：YYYY-MM-DD_HH-MM-SS。jvm启动参数中添加如下参数：用于OOM时自动保存堆栈信息；
SpringBoot 未授权访问漏洞挖掘
菜鸟的自学之路
04-15 5359
HeapDump内存泄露漏洞复现
在电脑上虚拟机安装Spring Boot Actuator
04-27
### 配置 Spring Boot Actuator 的步骤 要在虚拟机环境中安装和配置 Spring Boot Actuator，可以按照以下方法操作： #### 1. 添加依赖项 为了启用 Spring Boot Actuator 功能，在项目的 `pom.xml` 文件中添加以下 Maven 依赖项[^1]： ```xml <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-actuator</artifactId> </dependency> ``` 此依赖会引入必要的库来支持监控端点。 --- #### 2. 启用特定的 Actuator 端点 默认情况下，某些敏感端点（如 `/heapdump`, `/threaddump` 和 `/shutdown`）不会被自动暴露。可以在 `application.properties` 或 `application.yml` 中进行配置以启用这些端点[^1]。 以下是基于 `application.properties` 的示例配置： ```properties management.endpoints.web.exposure.include=health,info,metrics,prometheus,logfile management.endpoint.health.show-details=always ``` 如果使用的是 YAML 格式，则可写成如下形式： ```yaml management: endpoints: web: exposure: include: health, info, metrics, prometheus, logfile endpoint: health: show-details: always ``` 上述配置启用了健康状态、基本信息、指标数据以及日志文件访问等功能。 --- #### 3. 虚拟机中的网络配置 由于 Actuator 是通过 HTTP 接口提供服务的，因此需要确保虚拟机能够接受外部请求。可以通过修改 `server.address` 属性绑定到具体的 IP 地址或者允许所有接口监听。 例如，在 `application.properties` 中设置： ```properties server.port=8080 server.address=0.0.0.0 ``` 这会让应用在虚拟机的所有网卡上启动服务器实例，从而可以从主机或其他设备访问它。 --- #### 4. 安全性考虑 出于安全原因，默认情况下只有本地机器才能访问管理端点。如果你希望远程客户端也能连接，则需调整安全性策略[^1]。一种简单的方式是在 `application.properties` 中禁用基本认证（仅限开发环境测试），但推荐为生产环境实现更复杂的授权机制。 示例关闭 Basic Auth 设置： ```properties management.security.enabled=false ``` 注意：对于正式部署场景，请务必结合 Spring Security 来保护敏感信息不被未授权用户获取。 --- #### 5. 使用 VisualVM 进一步优化性能 除了内置功能外，还可以借助第三方工具比如 VisualVM 对 JVM 性能进行全面剖析[^2]。具体做法包括但不限于定期抓取堆快照 (`jmap`) 并导入至该软件界面查看对象分配情况；同时观察 GC 日志判断是否存在频繁 FullGC 导致停顿等问题发生。 一旦发现问题所在位置之后就可以针对性地改进代码逻辑减少资源消耗量级进而提升整个系统的响应速度和服务质量水平。 --- ### 示例代码片段 这里给出一个完整的项目结构作为参考： ```java package com.example.actuatordemo; import org.springframework.boot.SpringApplication; import org.springframework.boot.autoconfigure.SpringBootApplication; import org.springframework.web.bind.annotation.GetMapping; import org.springframework.web.bind.annotation.RestController; @SpringBootApplication public class ActuatorDemoApplication { public static void main(String[] args) { SpringApplication.run(ActuatorDemoApplication.class, args); } } @RestController class GreetingController { @GetMapping("/greet") public String greet() { return "Welcome to the Actuator Demo!"; } } ``` 配合前面提到的各种属性定义即可快速搭建起具备强大自检能力的应用框架体系。 ---
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值