SpringBoot Actuator未授权访问漏洞解决方案
更新时间：2023年09月02日 14:11:55 作者：懂事的观众GPT
工作的时候遇到过提示Spring Boot后端存在Actuator未授权访问漏洞,网上有很多详细的解释文章,在这里做一个简单的总结、介绍和分享,需要的朋友可以参考下
一、Actuator是什么？
Actuator 是 springboot 提供的用来对应用系统进行自省和监控的功能模块，借助于 Actuator 开发者可以很方便地对应用系统某些监控指标进行查看、统计。
二、Actuator未授权访问漏洞是什么？
在 Actuator 启用的情况下，如果没有做好相关权限控制，非法用户可通过访问默认的执行器端点（endpoints）来获取应用系统中的监控信息，从而导致信息泄露甚至服务器被接管的事件发生。默认配置会出现接口未授权访问，部分接口会泄露网站流量信息和内存信息等，使用Jolokia库特性甚至可以远程执行任意代码，获取服务器权限。
三、Actuator未授权访问漏洞解决方案
1.禁用所有接口，将配置改成：
endpoints.enabled = false
2.引入
spring-boot-starter-security
依赖：
<dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency>
3.开启security功能，配置访问权限验证，类似配置如下：
management.port=8099 management.security.enabled=true security.user.name=xxxxx security.user.password=xxxxx
总结
到此这篇关于SpringBoot Actuator未授权访问漏洞解决方案的文章就介绍到这了,更多相关SpringBoot Actuator漏洞内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家！
相关文章
这篇文章主要介绍了java 代理模式及动态代理机制深入分析的相关资料, 代理是一种常用的设计模式，其目的就是为其他对象提供一个代理以控制对某个对象的访问，需要的朋友可以参考下2017-03-03
这篇文章给大家介绍了spring aop实现接口超时处理组件,文中有详细的实现思路,并通过代码示例给大家介绍的非常详细,对大家的学习或工作有一定的帮助,需要的朋友可以参考下2024-02-02
HashSet、HashMap、ArrayList、LinkedList、Vector这几个在Java编程中经常用到，他们之间有很多联系，有很多相通的地方,我们这次先了解一下Vector与HashSet2021-06-06
这篇文章主要介绍了使用IDEA和Gradle构建Vertx项目(图文步骤)，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧2018-09-09
下面小编就为大家分享一篇浅谈SpringBoot处理url中的参数的注解，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧2018-01-01
这篇文章主要给大家介绍了关于将Java程序的输出结果写入文件的相关资料，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧2021-02-02
项目中使用Springboot,在Controller中配置了@NotNull和@Valid,@Notnull不生效,@Valid生效,返回http status为400,本文给大家介绍了Spring controller校验入参的方法,需要的朋友可以参考下2024-06-06
浅析springcloud 整合 zipkin-server 内存日志监控
Zipkin是一款开源的分布式实时数据追踪系统（Distributed Tracking System），其主要功能是聚集来自各个异构系统的实时监控数据。这篇文章主要介绍了springcloud 整合 zipkin-server 内存日志监控,需要的朋友可以参考下2019-11-11
这篇文章主要介绍了SpringBoot使用JPA实现查询部分字段方式，具有很好的参考价值，希望对大家有所帮助。如有错误或未考虑完全的地方，望不吝赐教2021-08-08
这篇文章主要介绍了全面解析SpringBoot自动配置的实现原理的相关资料,需要的朋友可以参考下2017-05-05
最新评论