Spring Boot Actuator

Spring Boot Actuator 提供了項目的健康檢查，審計，指標(biāo)收集，HTTP 跟蹤等，是幫助項目監(jiān)控和管理Spring Boot 應(yīng)用的模塊。
這個模塊采集應(yīng)用的內(nèi)部信息，展現(xiàn)給外部模塊，可以查看應(yīng)用配置的詳細信息，例如自動化配置信息、創(chuàng)建的Spring beans信息、
系統(tǒng)環(huán)境變量的配置信息以及      Web請求的詳細信息等，這也是導(dǎo)致有泄露信息安全隱患的原因。如果沒有正確使用Actuator，
可能造成信息泄露等嚴(yán)重的安全隱患（外部人員非授權(quán)訪問Actuator端點）。其中heapdump作為Actuator組件最為危險的Web端點，
heapdump因未授權(quán)訪問被惡意人員獲取后進行分析，可進一步獲取敏感信息。  SpringBoot 1.x 和 2.x 的 Actuator模塊設(shè)置有差別，
訪問功能的路徑也有差別，但現(xiàn)在多使用的SpringBoot版本為2.x，這篇文章只講SpringBoo 2.x Actuator模塊帶來的信息泄露。

漏洞自查

在瀏覽器中范圍于http://192.168.0.119:81/dev-api/actuator（http://IP:端口/actuator），如下圖

幾個漏洞屬于配置不當(dāng)引起路由暴露。

1.讀取用戶的認(rèn)證字段獲取敏感信息

可以直接嘗試訪問網(wǎng)站目錄下的/trace 路徑，讀取用戶認(rèn)證字段信息，比如在trace 路徑下，會有用戶的敏感信息，可能包括authorization(token、JWT、cookie)等字段，那么就可以利用泄露的認(rèn)證信息，登陸自己的賬戶后，替換JWT，token 字段繼續(xù)獲取其他用戶的信息，這些信息足以影響其他用戶，

2.數(shù)據(jù)庫賬戶密碼泄露

Actuator作為Spring Boot提供的對應(yīng)用系統(tǒng)的監(jiān)控和管理的集成，會監(jiān)控mysql之類的數(shù)據(jù)庫服務(wù)，那么通過監(jiān)控信息有可能拿下 數(shù)據(jù)庫;直接通過訪問其/env 路徑獲取數(shù)據(jù)庫配置信息，比如數(shù)據(jù)庫的用戶名及密碼

3.外帶明文

直接訪問/actuator/，/actuator/env這些執(zhí)行器端點路徑，可能會看到大量接口和敏感信息，如mysgl安裝路徑等等，脫敏之后的password等待。

4.heapdump后臺賬號密碼

嘗試訪問網(wǎng)站的/actuator/heapdump接口，下載返回的GZip 壓縮 堆轉(zhuǎn)儲文件，使用通過VisualVM/Android studio 加載，通過泄露站點的內(nèi)存信息，查看到后臺賬號信息和數(shù)據(jù)庫賬號

5.git 項目地址的泄露

一般在在/health 路徑，比如直接去訪問項目的 health 路徑，可探測到站點 git 項目地址，查看源碼；

處理漏洞

解決方法：

在網(wǎng)關(guān)iff-gateway項目nacos相關(guān)的配置文件中，新增如下配置，重啟iff-gateway項目：

management:
  endpoints:
    web:
      exposure:
        include: "*"
        exclude: env,health
    enabled-by-default: false

重啟gateway

啟動成功后再瀏覽器中在訪問http://192.168.0.119:81/dev-api/actuator（http://IP:端口/actuator）

以上漏洞已解決。

到此這篇關(guān)于關(guān)于SpringBoot Actuator漏洞補救方案的文章就介紹到這了,更多相關(guān)SpringBoot Actuator內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

最新評論