一、SpringBoot Actuator SpringBoot Actuator是SpringBoot项目中的一个监控机制,用于提供了一系列对SpringBoot项目的状态监控,有助于监控项目上线后的运行状态、组件状态等。这些监控项称之为端点(endpoint),可以通过API接口进行访问,但是配置不当可能出现敏感信息泄露,导致一系列严重的后果。 二、环境搭建 1、SpringBoot...
1.对外暴露的API接口(dubbo-interface-API) 对于接口工程的创建 使用了maven 但没使用任何骨架 目录结构为一个实体类和一个服务接口 实体类的创建要注意实现对象的序列化 (实现Serializable 接口) public class Student implements Serializable { private static final long serialVersionUID = 1245946014621298931L; priva...
移除了当前项目中的servlet依赖后报错消失。 还有一个问题就是如果使用的Spring Boot版本大于2.2.4,则必须使用下面的属性手动启用POST API调用 management.endpoint.env.post.enabled=true 否则不能通过POST访问env端点。 利用方法 首先访问http://127.0.0.1:8080/actuator/env来获取我们想要明文字段的key 2. 在自己控...
/env、/actuator/env:GET 请求 /env 会泄露环境变量信息,或者配置中的一些用户名,当程序员的属性名命名不规范 (例如 password 写成 psasword、pwd) 时,会泄露密码明文;同时有一定概率可以通过 POST 请求 /env 接口设置一些属性,触发相关 RCE 漏洞。 /jolokia:通过 /jolokia/list 接口寻找可以利用的 MBean,触发...
1. Springboot信息泄露 1.1 可能泄露路由列表 /api-docs/v2/api-docs/swagger-ui.html/api.html/sw/swagger-ui.html/api/swagger-ui.html/template/swagger-ui.html/spring-security-rest/api/swagger-ui.html/spring-security-oauth-resource/swagger-ui.html/mappings/actuator/mappings/metrics/actuator/met...
0x01 信息泄露 1.1 漏洞利用 在拿到一个网站后通常通过两个位置判断网站是否使用了Spring Boot框架。1、网站图片文件是一个绿色的树叶。2、特有的报错信息。 如果开发人员配置不当,将接口暴露在公网上或者未配置权限限制访问,黑客可以使用以下的Actuator监控原生端点获取到一些网站的敏感数据。
首先说下这个漏洞的产生。主要是因为程序员开发时没有意识到暴露路由可能会造成安全风险,或者没有按照标准流程开发,忘记上线时需要修改/切换生产环境的配置。我们是可以通过访问/v2/api-docs和/swagger-ui.html去验证是否存在的。 0x2漏洞利用 本次我们想获取/actuator/env里面的明文信息,那么有三种方法可以获取。
现在的项目都采用前后端分类的方式开发了,前后端的通讯方式都通过API进行传输。我们知道,如果是管理后台的开发,可以通过shiro或springSecurity进行权限控制,进而保证API接口的安全性,但是,当我们在进行APP或小程序开发的时候,因为需要用户长期登录等问题,再采用shiro等方式进行安全控制就显得不是那么合理的。
1、未授权的访问者可以通过Actuator端点获取敏感信息,如数据库账户密码,代码及后台账号密码,攻击者可利用泄露信息进行进一步利用,并进行更深入的攻击。. 2、攻击者可以通过Actuator端点的未授权访问,执行恶意操作,如修改配置、篡改数据、重启应用程序、关闭数据库连接等,从而破坏应用程序的正常运行。
因为Basic Auth 的身份信息是写在请求中,被截获账号密码可能会泄露,为此增加一重ip认证 在实际应用中,可能会用spring boot 写一些微服务去做底层的一些预处理,然后再开放一些接口传输数据。为了安全,同城要做一些访问的认证,也不用选太复杂的认证方式,就用 Basic Auth就可以,再在此基础上再做一些认证,比如这里的ip...