快捷導(dǎo)航

SpringBoot Actuator未授權(quán)訪問(wèn)漏洞解決方案

更新時(shí)間：2023年09月02日 14:11:55 作者：懂事的觀眾GPT

工作的時(shí)候遇到過(guò)提示Spring Boot后端存在Actuator未授權(quán)訪問(wèn)漏洞,網(wǎng)上有很多詳細(xì)的解釋文章,在這里做一個(gè)簡(jiǎn)單的總結(jié)、介紹和分享,需要的朋友可以參考下

一、Actuator是什么？

Actuator 是 springboot 提供的用來(lái)對(duì)應(yīng)用系統(tǒng)進(jìn)行自省和監(jiān)控的功能模塊，借助于 Actuator 開(kāi)發(fā)者可以很方便地對(duì)應(yīng)用系統(tǒng)某些監(jiān)控指標(biāo)進(jìn)行查看、統(tǒng)計(jì)。

二、Actuator未授權(quán)訪問(wèn)漏洞是什么？

在 Actuator 啟用的情況下，如果沒(méi)有做好相關(guān)權(quán)限控制，非法用戶可通過(guò)訪問(wèn)默認(rèn)的執(zhí)行器端點(diǎn)（endpoints）來(lái)獲取應(yīng)用系統(tǒng)中的監(jiān)控信息，從而導(dǎo)致信息泄露甚至服務(wù)器被接管的事件發(fā)生。默認(rèn)配置會(huì)出現(xiàn)接口未授權(quán)訪問(wèn)，部分接口會(huì)泄露網(wǎng)站流量信息和內(nèi)存信息等，使用Jolokia庫(kù)特性甚至可以遠(yuǎn)程執(zhí)行任意代碼，獲取服務(wù)器權(quán)限。

三、Actuator未授權(quán)訪問(wèn)漏洞解決方案

1.禁用所有接口，將配置改成：

endpoints.enabled = false

2.引入

spring-boot-starter-security

依賴(lài)：

<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>

3.開(kāi)啟security功能，配置訪問(wèn)權(quán)限驗(yàn)證，類(lèi)似配置如下：

management.port=8099
management.security.enabled=true
security.user.name=xxxxx
security.user.password=xxxxx

總結(jié)

到此這篇關(guān)于SpringBoot Actuator未授權(quán)訪問(wèn)漏洞解決方案的文章就介紹到這了,更多相關(guān)SpringBoot Actuator漏洞內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

您可能感興趣的文章:

相關(guān)文章

Java流程控制語(yǔ)句最全匯總(下篇)
這篇文章主要介紹了Java流程控制語(yǔ)句最全匯總(下篇)，本文章內(nèi)容詳細(xì)，通過(guò)案例可以更好的理解數(shù)組的相關(guān)知識(shí)，本模塊分為了三部分，本次為下篇，需要的朋友可以參考下
2023-01-01
Java 并發(fā)和線程處理示例詳解
這篇文章主要介紹了Java 并發(fā)和線程處理示例詳解,通過(guò)本文的介紹,我們?cè)敿?xì)了解了 Java 并發(fā)和線程處理的基本概念、創(chuàng)建線程的方法、確保線程安全性以及避免死鎖的技巧,需要的朋友可以參考下
2026-02-02
基于SpringBoot實(shí)現(xiàn)Web應(yīng)用的登錄與退出功能
登錄與退出功能作為 Web 應(yīng)用中的基礎(chǔ)且重要的組成部分,直接關(guān)系到用戶的安全和隱私保護(hù),所以本文給大家介紹了基于SpringBoot實(shí)現(xiàn)Web應(yīng)用的登錄與退出功能,文中有詳細(xì)的代碼供大家參考,需要的朋友可以參考下
2024-04-04
Java實(shí)現(xiàn)本地緩存的常用方案介紹
本地緩存的代表技術(shù)主要有HashMap,Guava Cache,Caffeine和Encahche,這篇文章主要來(lái)和大家聊聊java利用這些技術(shù)分別實(shí)現(xiàn)本地緩存的方法,有需要的可以了解下
2025-05-05
centos7中如何優(yōu)雅的動(dòng)態(tài)切換jdk版本實(shí)例詳解
這篇文章主要介紹了CentOS7安裝多版本jdk并切換jdk版本的完整步驟,文中通過(guò)代碼詳細(xì)介紹使用alternatives命令管理多個(gè)JDK版本,步驟包括安裝不同JDK、配置alternatives及切換版本驗(yàn)證,需要的朋友可以參考下
2026-06-06
java高并發(fā)的線程中斷的幾種方式詳解
這篇文章主要介紹了Java線程中斷機(jī)制幾種方法及示例，向大家分享了這幾種方法的介紹幾代碼示例，具有一定參考價(jià)值，需要的朋友可以了解下。
2021-10-10
Mybatis多個(gè)字段模糊匹配同一個(gè)值的案例
這篇文章主要介紹了Mybatis多個(gè)字段模糊匹配同一個(gè)值的案例，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。一起跟隨小編過(guò)來(lái)看看吧
2020-09-09
SpringBoot配置文件中系統(tǒng)環(huán)境變量存在特殊字符的處理方式
這篇文章主要介紹了SpringBoot配置文件中系統(tǒng)環(huán)境變量存在特殊字符的處理方式，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。如有錯(cuò)誤或未考慮完全的地方，望不吝賜教
2022-02-02
SpringLDAP連接LDAPS證書(shū)報(bào)錯(cuò)問(wèn)題及解決
這篇文章主要介紹了SpringLDAP連接LDAPS證書(shū)報(bào)錯(cuò)問(wèn)題及解決方案,具有很好的參考價(jià)值,希望對(duì)大家有所幫助,如有錯(cuò)誤或未考慮完全的地方,望不吝賜教
2024-05-05
Java中finally和return的關(guān)系實(shí)例解析
這篇文章主要介紹了Java中finally和return的關(guān)系實(shí)例解析，總結(jié)了二者的關(guān)系，然后分享了相關(guān)代碼示例，小編覺(jué)得還是挺不錯(cuò)的，具有一定借鑒價(jià)值，需要的朋友可以參考下
2018-02-02