Druid未授权访问漏洞小记

漏洞说明：Druid是阿里巴巴数据库出品的，为监控而生的数据库连接池，并且Druid提供的监控功能，监控SQL的执行时间、监控Web URI的请求、Session监控，首先Druid是不存在什么漏洞的。但当开发者配置不当时就可能造成未授权访问.

直接在网站的url中后加上：
/druid/index.html
如果可以无需登录，即可登录到Druid监控界面，则说明该网站存在Druid未授权访问漏洞！
下面是某次实测时发现的未授权访问漏洞实例：

解决方法：

在配置文件中禁用druid监控页或添加用户名密码

    spring:
      datasource:
        druid:
          stat-view-servlet:
            # 是否启用StatViewServlet(监控页面),默认true-启动，false-不启动
            enabled: false
            url-pattern: '/druid/*'
            # IP白名单(没有配置或者为空，则允许所有访问)
            allow: 127.0.0.1,192.168.0.1
            # IP黑名单(存在共同时,deny优先于allow)
            deny: 192.168.0.0
            # 禁用HTML页面上的"Reset All"功能
            reset-enable: false
            # 登录名
            login-username: username
            # 登录密码
            login-password: password