Spring heapdump 敏感信息查找

最新推荐文章于 2024-09-15 08:30:38 发布

酉酉囧

最新推荐文章于 2024-09-15 08:30:38 发布

阅读量3.5k

点赞数

分类专栏： Web 文章标签： spring java

版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文链接：https://blog.csdn.net/qq_41725312/article/details/125745086

版权

本文介绍了如何使用Spring actuator模块检查开放在互联网中的敏感信息，包括手动借助Eclipse Memory Analyzer（MAT）工具进行heapdump文件分析，以及使用heapdump_tool自动化查询敏感数据如密码和SESSION信息。此外，还提到了heapdump_tool在查找IP地址、文件和URL信息上的应用。

摘要由CSDN通过智能技术生成

Spring heapdump 敏感信息查找

Spring actuator

spring-boot-actuator模块提供了所有的生产状态下的所有功能

Spring-actuator The spring-boot-actuator module provides all of Spring Boot’s production-ready feature

ID	描述
`env`	公开 Spring 的`ConfigurableEnvironment`（环境配置），其中含有敏感数据，如数据库的账号密码.
`heapdump`	返回一个堆转储文件。其中含有敏感数据，如数据库的密码明文

发现一个actuator/env 开放在互联网中，并且actuator/heapdump能下载

在这里插入图片描述

搜索到env存在敏感数据sso.user.password，class路径为bootstrap-peer.yml，密码为脱敏的*星号，可以通过专门的分析软件进行明文的查找

在这里插入图片描述

手动查找

使用工具Eclipse Memory Analyzer（MAT）下载地址，对heapdump文件进行分析

访问URLXXXXX/actuator/heapdump下载heapdump文件, 使用MAT打开heapdump文件

在这里插入图片描述

选择使用OQL进行查询

查看所有配置信息的语句࿰

最低0.47元/天解锁文章

评论

被折叠的条评论为什么被折叠?

到【灌水乐园】发言

查看更多评论

添加红包

成就一亿技术人!

hope_wisdom

发出的红包

实付元

使用余额支付

点击重新获取

扫码支付

钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。