SpringBoot Actuator未授權(quán)訪問漏洞解決方案
一、Actuator是什么？
Actuator 是 springboot 提供的用來對(duì)應(yīng)用系統(tǒng)進(jìn)行自省和監(jiān)控的功能模塊，借助于 Actuator 開發(fā)者可以很方便地對(duì)應(yīng)用系統(tǒng)某些監(jiān)控指標(biāo)進(jìn)行查看、統(tǒng)計(jì)。
二、Actuator未授權(quán)訪問漏洞是什么？
在 Actuator 啟用的情況下，如果沒有做好相關(guān)權(quán)限控制，非法用戶可通過訪問默認(rèn)的執(zhí)行器端點(diǎn)（endpoints）來獲取應(yīng)用系統(tǒng)中的監(jiān)控信息，從而導(dǎo)致信息泄露甚至服務(wù)器被接管的事件發(fā)生。默認(rèn)配置會(huì)出現(xiàn)接口未授權(quán)訪問，部分接口會(huì)泄露網(wǎng)站流量信息和內(nèi)存信息等，使用Jolokia庫(kù)特性甚至可以遠(yuǎn)程執(zhí)行任意代碼，獲取服務(wù)器權(quán)限。
三、Actuator未授權(quán)訪問漏洞解決方案
1.禁用所有接口，將配置改成：
endpoints.enabled = false
2.引入
spring-boot-starter-security
依賴：
<dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency>
3.開啟security功能，配置訪問權(quán)限驗(yàn)證，類似配置如下：
management.port=8099 management.security.enabled=true security.user.name=xxxxx security.user.password=xxxxx
總結(jié)
到此這篇關(guān)于SpringBoot Actuator未授權(quán)訪問漏洞解決方案的文章就介紹到這了,更多相關(guān)SpringBoot Actuator漏洞內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！
- SpringBoot應(yīng)用監(jiān)控Actuator使用隱患及解決方案
- SpringBoot+actuator和admin-UI實(shí)現(xiàn)監(jiān)控中心方式
- SpringBoot Actuator未授權(quán)訪問漏洞的排查和解決方法
- Spring Boot Actuator未授權(quán)訪問漏洞的問題解決
- SpringBoot中的Actuator詳解
- 關(guān)于SpringBoot Actuator漏洞補(bǔ)救方案
- SpringBoot監(jiān)控模塊Actuator的用法詳解
- SpringBoot Actuator未授權(quán)訪問漏洞修復(fù)詳解
- Spring Boot Actuator入門指南
相關(guān)文章
mybatis 查詢sql中in條件用法詳解(foreach)
這篇文章主要介紹了mybatis 查詢sql中in條件用法詳解(foreach)，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。一起跟隨小編過來看看吧2021-02-02
java編程中自動(dòng)拆箱與自動(dòng)裝箱詳解
這篇文章主要介紹了java編程中自動(dòng)拆箱與自動(dòng)裝箱詳解，具有一定參考價(jià)值，需要的朋友可以了解下。2017-11-11
關(guān)于weblogic部署Java項(xiàng)目的包沖突問題的解決
這篇文章主要介紹了關(guān)于weblogic部署Java項(xiàng)目的包沖突問題的解決，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2019-01-01
Java實(shí)戰(zhàn)項(xiàng)目 健身管理系統(tǒng)
本文是一個(gè)Java語(yǔ)言編寫的實(shí)戰(zhàn)項(xiàng)目，是一個(gè)健身管理系統(tǒng)，主要用到了ssm+springboot等技術(shù)，技術(shù)含量筆記高，感興趣的童鞋跟著小編往下看吧2021-09-09
Mybatis實(shí)現(xiàn)一對(duì)多映射處理
MyBatis是一種流行的Java持久化框架，這篇文章主要為大家介紹了Mybatis如何實(shí)現(xiàn)一對(duì)多映射處理，文中的示例代碼講解詳細(xì)，需要的可以參考下2023-08-08
這篇文章主要介紹了SpringBoot整合ES解析搜索返回字段問題,本文給大家介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值，需要的朋友可以參考下2023-03-03
Java并發(fā)編程之synchronized底層實(shí)現(xiàn)原理分析
這篇文章主要介紹了Java并發(fā)編程之synchronized底層實(shí)現(xiàn)原理,具有很好的參考價(jià)值,希望對(duì)大家有所幫助,如有錯(cuò)誤或未考慮完全的地方,望不吝賜教2024-02-02
Java動(dòng)態(tài)字節(jié)碼注入技術(shù)的實(shí)現(xiàn)
Java動(dòng)態(tài)字節(jié)碼注入技術(shù)是一種在運(yùn)行時(shí)修改Java字節(jié)碼的技術(shù),本文主要介紹了Java動(dòng)態(tài)字節(jié)碼注入技術(shù)的實(shí)現(xiàn),具有一定的參考價(jià)值,感興趣的可以了解一下2023-08-08
這篇文章主要介紹了SpringCloud集成Nacos的使用小結(jié)，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2020-12-12
這篇文章主要介紹了Java判斷用戶名和密碼過程詳解,文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友可以參考下2020-02-02