Springboot之actuator配置不当漏洞（autoconfig、configprops、beans、dump、env、health、info、mappings、metrics、trace）

前言

Actuator 是 springboot 提供的用来对应用系统进行自省和监控的功能模块，借助于 Actuator 开发者可以很方便地对应用系统某些监控指标进行查看、统计等。在 Actuator 启用的情况下，如果没有做好相关权限控制，非法用户可通过访问默认的执行器端点（endpoints）来获取应用系统中的监控信息。Actuator 配置不当导致应用系统监控信息泄露对应用系统及其用户的危害是巨大的，然而关于 springboot 框架下 actuator 配置不当的漏洞利用分析文章很少，目前笔者只在先知社区看到有一篇介绍 actuator 的安全文章，于是想在这里，分享下笔者在渗透测试过程中遇到的 actuator 配置不当的发现及利用过程，如有分析不正确的地方，还请各位大佬轻喷~    

Actuator 简介    

如上所言，actuator 是 springboot 提供的用来对应用系统进行自省和监控的功能模块。其提供的执行器端点分为两类：原生端点和用户自定义扩展端点，原生端点主要有：

Http 方法	路径	描述
get	/autoconfig	提供了一份