SpringBoot应用监控Actuator使用的安全隐患

转载：https://xz.aliyun.com/t/2233

 

============================================================================================

SpringBoot应用监控Actuator使用的安全隐患

问题阐述

由于系统被扫描出来有安全漏洞，发现访问http://xxxxxx/env或者http://xxxxxx/trace等地址，泄漏了内部机器ip、端口、访问路径、系统环境变量的配置等信息查询网上资料则发现是使用了SpringBoot应用监控Actuator导致的，即看以下内容。

概述 

微务作为一项在云中部署应用和服务的新技术是当下比较热门话题，而微服务的特点决定了功能模块的部署是分布式的，运行在不同的机器上相互通过服务调用进行交互，业务流会经过多个微服务的处理和传递，在这种框架下，微服务的监控显得尤为重要。

而Actuator正是Spring Boot提供的对应用系统的监控和管理的集成功能，可以查看应用配置的详细信息，例如自动化配置信息、创建的Spring beans信息、系统环境变量的配置信以及Web请求的详细信息等。如果使用不当或者一些不经意的疏忽，可能造成信息泄露等严重的安全隐患。

Actuator监控

分成两类：原生端点和用户自定义扩展端点，原生的主要有：

HTTP请求方法	路径	描述
GET	/autoconfig	提供了一份自动配置报告，记录哪些自动配置条件通过了，哪些没通过
GET	/beans	描述应用程序上下文里全部的Bean，以及它们的关系
GET	/env	获取全部环境属性
GET	/env/{name}	查看具体变量值
GET	/configprops	描述配置属性(包含默认值)如何注入Bean
GET	/dump	获取线程活动的快照
GET	/health	报告应用程序的健康指标，这些值由HealthIndicator的实现类提供
GET	/info	获取应用程序的定制信息，这些信息由info打头的属性提供
GET	/mappings	描述全部的URI路径，以及它们和控制器(包含Actuator端点)的映射关系
GET	/metrics	报告各种应用程序度量信息，比如内存用量和HTTP请求计数
GET	/metrics/{name}	查看具体应用程序指标
POST	/shutdown	关闭应用程序，要求endpoints.shutdown.enabled设置为true
GET	/trace	提供基本的HTTP请求跟踪信息(时间戳、HTTP头等)

Actuator使用

Actuator应用监控使用只需要添加spring-boot-starter-actuator依赖即可，如下：

　　　　　<dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-actuator</artifactId>
        </dependency>

 

此时，运行示例,访问/env即可查看系统环境变量的配置信息，之后再访问/trace即可查看所有Web请求的详细信息，包括请求方法、路径、时间戳以及请求和响应的头信息甚至cookie信息，如图:

安全措施

如果上述请求接口不做任何安全限制，安全隐患显而易见。实际上Spring Boot也提供了安全限制功能。比如要禁用/env接口，则可设置如下：

endpoints.env.enabled= false

配置好后重启服务再访问地址则返回此终结点已禁用

 

如果只想打开一两个接口，那就先禁用全部接口，然后启用需要的接口：

endpoints.enabled = false
endpoints.xxx.enabled = true

 

另外也可以引入spring-boot-starter-security依赖

　　　　　<dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>

 

在application.properties中指定actuator的端口以及开启security功能，配置访问权限验证，这时再访问actuator功能时就会弹出登录窗口，需要输入账号密码验证后才允许访问。

management.port=8099
management.security.enabled=true
security.user.name=admin
security.user.password=admin

 

安全建议

在使用Actuator时，不正确的使用或者一些不经意的疏忽，就会造成严重的信息泄露等安全隐患。在代码审计时如果是springboot项目并且遇到actuator依赖，则有必要对安全依赖及配置进行复查。也可作为一条规则添加到黑盒扫描器中进一步把控。
安全的做法是一定要引入security依赖，打开安全限制并进行身份验证。同时设置单独的Actuator管理端口并配置不对外网开放。