Spring Boot Actuator未授权访问漏洞处理

已于 2025-02-06 15:21:33 修改
阅读量3.8k 收藏 7
点赞数 4
分类专栏： java常用知识总结 文章标签： spring boot 网络 服务器
于 2024-12-02 10:43:36 首次发布
本文为博主原创文章，未经博主允许不得转载。
本文链接：https://blog.csdn.net/qq_37050372/article/details/144182125
版权

第一种方式(彻底关闭Actuator的端口，让其无法访问)

在配置文件中配置

management: 
  server:
    port: -1

第二种方式(如果不能通过关闭端口的形式解决，那就将Actuator的所有访问接口都屏蔽掉，让其下的接口都无法访问)

 在配置文件中配置

management: 
  endpoints:
   enabled-by-default: false
   web:
     exposure:
       include: []

web渗透测试漏洞复现：Springboot Actuator未授权漏洞复现
HACKONE的博客
03-28 4287
pring Boot Actuator 是 Spring Boot 框架中非常重要的一个模块，设计用于增强应用程序在生产环境中的可观察性和管理能力。Actuator 提供了一系列内建的端点（Endpoints），这些端点可通过 HTTP 或 JMX 接口暴露应用的健康状况、度量指标、审计信息、环境属性、 Beans 列表等多种内部状态信息。
【高危】Spring Boot Actuator未授权访问
imudges_hanhaoyu的博客
05-29 1490
一个SpringBoot的项目,采用了若依的框架，不知道是框架自带的还是有人单独加的，项目里用到了。（以下简称SBA）主要用于Spring Boot应用的健康检查，配合K8S可用于服务部署，切换流量，监控报警等场景。但是就我的理解，这个项目是一个比较简单的项目，应该是用不到Spring Boot Actuator的然后，被检测出来，有漏洞了。。。
SpringBoot Actuator未授权访问漏洞修复
JHIII的博客
08-25 2万+
目前SpringBoot得框架，越来越广泛，大多数中小型企业，在开发新项目得时候。后端语言使用java得情况下，首选都会使用到SpringBoot。在很多得一些开源得框架中，例如: ruoyi若以，这些。不知道是出于什么原因？我们都会在这些框架中得pom文件中找到的依赖。嘿，这Actuator估计很多人都没有真真实实使用过，但是就会出现在pom文件中；这样导致，在做一些安全漏洞测试的时候，会出现漏洞问题。例如下面：对于这些漏洞，我们开始修复喽！！！
Spring Boot Actuator基础使用及Actuator未授权访问处理
weixin_43625238的博客
04-02 1072
新建hello的endpoint@Component运行项目，访问 http://127.0.0.1:8091/actuator发现hello端点出现在列表中访问hello端点 http://127.0.0.1:8091/actuator/hello。
SpringBoot Actuator未授权访问漏洞的解决方法
MichaelZ的博客
05-08 4636
Spring Boot Actuator 是一个用于监控和管理 Spring Boot 应用程序的功能模块。它提供了一系列生产就绪的功能，帮助你了解应用程序的运行状况，以及在运行时对应用程序进行调整。Actuator 使用了 Spring MVC 来暴露各种 HTTP 或 JMX 端点，通过这些端点你可以获取到应用程序的运行信息，如健康状态、指标、线程 dump、环境变量等。健康检查：可以检查应用程序的运行状况，包括数据库连接、磁盘空间、服务状态等。指标收集。
Spring Boot Actuator未授权访问排查和整改指南
热门推荐
weixin_44106034的博客
10-19 3万+
1、信息泄露：未授权的访问者可以通过Actuator端点获取敏感信息，如应用程序的配置信息、运行时环境、日志内容等。这些信息可以被攻击者用于识别系统的弱点，并进行更深入的攻击。2、使用默认的敏感端点路径：默认情况下，Actuator的一些敏感端点路径（如/actuator/shutdown、/actuator/env）可能对未授权用户开放。2、系统破坏：攻击者可以通过Actuator端点的未授权访问，执行恶意操作，如修改配置、篡改数据、重启应用程序、关闭数据库连接等，从而破坏应用程序的正常运行。
Spring Boot Actuator未授权访问漏洞
SummerGao
12-03 4335
Spring Boot Actuator是Spring Boot提供的一个用于对应用系统进行自省和监控的功能模块。它允许开发者通过暴露的端点（Endpoints）来查看和交互应用系统的各种指标和配置信息，如健康检查、环境属性、线程转储、HTTP追踪等。这些端点对于开发者在开发、测试以及生产环境中监控和管理应用非常有用。
Spring Boot Actuator未授权访问漏洞和Apache Druid 漏洞修复
songshao の blog
06-24 1万+
Spring Boot Actuator未授权访问漏洞 详细描述 ​ Actuator 是 springboot 提供的用来对应用系统进行自省和监控的功能模块，借助于 Actuator 开发者可以很方便地对应用系统某些监控指标进行查看、统计等。在 Actuator 启用的情况下，如果没有做好相关权限控制，非法用户可通过访问默认的执行器端点（endpoints）来获取应用系统中的监控信息。 解决办法 1.配置认证 在项目的pom.xml文件下引入spring-boot-starter-security依赖
如何解决 Spring Boot Actuator 的未授权访问漏洞
09-22 4339
的作用是提供了一组管理和监控端点，允许你查看应用程序的运行时信息，例如健康状态、应用程序信息、性能指标等。这些端点对于开发、和运维团队来说都非常有用，可以帮助快速诊断问题、监控应用程序的性能，并采取必要的措施来维护和管理应用程序。
修复SpringBoot Actuator未授权访问遇到的问题
玛卡巴卡的博客
03-30 5144
访问http://xxx.xx.x/actuator 会直接获取到系统监控信息，存在安全问题。
SpringBoot Actuator未授权访问漏洞的全面解析与解决方案
最新发布
Arvin627的博客
04-29 1492
引言SpringBoot Actuator 作为应用监控与管理的核心组件，为开发者提供了丰富的系统自省和运维能力。然而，其默认配置中可能存在的未授权访问漏洞，已成为企业安全防护的潜在风险。本文将从漏洞原理、影响范围、检测方法到解决方案，系统性地剖析该问题，并提供覆盖开发、运维、安全等多维度的防护策略，助力构建安全可靠的SpringBoot应用体系。
Spring Boot 未授权访问漏洞利用
bmaoHk的博客
10-04 3201
Spring Boot是由Pivotal团队提供的一套开源框架，可以简化spring应用的创建及部署。它提供了丰富的Spring模块化支持，可以帮助开发者更轻松快捷地构建出企业级应用。Spring Boot通过自动配置功能，降低了复杂性，同时支持基于JVM的多种开源框架，可以缩短开发时间，使开发更加简单和高效，在应用系统中占比较大。因此当某些端点存在配置不当的时候，就有可能导致一些系统信息泄露、 RCE 等安全问题。● Spring Boot 1.x版本端点在根URL下注册。
Spring Boot Actuator漏洞修复
技术引领业务创新
04-21 550
Spring Boot Actuator漏洞修复
Hadoop，ActiveMQ，RabbitMQ，Springboot Actuator未授权访问漏洞（附带修复方法）
C233333235的博客
08-09 2958
Hadoop是⼀个由Apache基⾦会所开发的分布式系统基础架构，由于服务器直接在开放了Hadoop 机器 HDFS 的 50070 web 端⼝及部分默认服务端⼝，⿊客可以通过命令⾏操作多个⽬录下的数据，如进⾏删除，下载，⽬录浏览甚⾄命令执⾏等操作，产⽣极⼤的危害。在 Actuator 启⽤的情况下，如果没有做好相关权限控制，⾮法⽤户可通过访问默认的执⾏器端点（endpoints）来获取应⽤系统中的监控信息，从⽽导致信息泄露甚⾄服务器被接管的事件发⽣。默认情况下，ActiveMQ服务是没有配置安全参数。
Springboot Actuator未授权访问漏洞
weixin_53736204的博客
08-05 627
Actuator 是 springboot 提供的用来对应用系统进行自省和监控的功能模块，借助于 Actuator 开发者可以很方便地对应用系统某些监控指标进行查看、统计等。在 Actuator启用的情况下，如果没有做好相关权限控制，非法用户可通过访问默认的执行器端点(endpoints)来获取应用系统中的监控信息，从而导致信息泄露甚至服务器被接管的事件发生。Actuator 是 springboot 提供的用来对应用系统进行自省和监控的功能模块。步骤二:拼接以下路径查看泄露的数据.
springboot未授权访问&CVE-2014-3566
qq_42430287的博客
02-23 690
springboot actuator未授权访问 Spring Boot 1.x版本端点在根URL下注册 /autoconfig 提供了一份自动配置报告，记录哪些自动配置条件通过了，哪些没通过 /beans 描述应用程序上下文里全部的Bean，以及它们的关系 /env 获取全部环境属性 /configprops 描述配置属性(包含默认值)如何注入Be...
Spring Boot Actuator 未授权访问漏洞
07-19
Spring Boot Actuator是一个强大的工具包，它提供了一组监控和管理API，帮助开发者更好地调试、健康检查和安全管理Spring应用程序。然而，如果不谨慎配置，Actuator的一些端点可能会暴露敏感信息或允许未经身份验证的访问，这可能导致未授权访问漏洞。 默认情况下，Actuator通常会在内部保护某些端点，如"/actuator/info"和"/actuator/prometheus"，需要Spring Security或其他认证机制来防止直接访问。但是，如果没有正确设置安全策略，比如禁用不必要的端点，或者没有启用HTTPS，就可能存在漏洞。 攻击者可能利用这个漏洞获取应用程序的运行状态、配置信息甚至数据库凭据等重要数据。为了修复这个问题，你应该： 1. 确保仅限受信任的IP地址可以访问Actuator。 2. 为所有端点启用身份验证，并使用强壮的密码策略。 3. 只启用了实际需要的监控功能，禁用不必要的端点。
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

未来@音律

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值