“Alibaba Druid 未授权访问” 安全漏洞

近期，时常有各种安全漏洞被相关部门稽核整改，其中 “Alibaba Druid 未授权访问” 是一个必改项。

问题描述

Alibaba Druid 默认情况下未设置访问控制，攻击者可以登录以获取敏感信息。

例如，访问：http://10.10.204.91:8081/druid/index.html
返回：
可以免授权方式直接进入 druid 管理页面。

危机分析：

druid作为数据库连接池，默认配置监控页存在漏洞，可以通过直接通过GET /druid/index.html 直接访问，存在数据库数据泄露的风险。

解决方案：

在yml配置文件中进行账号密码配置或者禁用页面

    datasource:
        druid:
          # 配置DruidStatViewServlet
          stat-view-servlet