【Druid 未授权访问漏洞】解决办法

【Druid 未授权访问漏洞】解决办法

漏洞描述

Alibaba Druid 未授权访问【原理扫描】 
Alibaba Druid是一款Java语言开发的数据库连接池。Druid能够提供强大的监控和扩展功能。 
Alibaba Druid 默认情况下未设置访问控制，攻击者可以登录以获取敏感信息 

修改web.xml文件

1. 进入到项目(galaxy)部署目录后,进入到WEB-INF目录。

cd server/web/webapps/webapp/WEB-INF

2. 修改web.xml文件

vi web.xml

3. 找到DruidStatView配置片段，增加用户名密码配置。

	<servlet>
		<servlet-name>DruidStatView</servlet-name>
		<servlet-class>com.alibaba.druid.support.http.StatViewServlet</servlet-class>
        <!--	增加用户名密码  开始	-->
		<init-param>
			<param-name>loginUsername</param-name>
			<param-value>admin</param-value>
		</init-param>
		<init-param>
			<param-name>loginPassword</param-name>
			<param-value>admin!QAZwsx</param-value>
		</init-param>
        <!--	增加用户名密码  结束	-->
	</servlet>

4. 重新启动项目。