SpringBoot 未授权访问漏洞挖掘

tmj01

已于 2024-04-15 16:48:57 修改

阅读量5k

点赞数 25

分类专栏：实战文章标签： web安全 spring boot

于 2024-04-15 15:49:43 首次发布

本文链接：https://blog.csdn.net/weixin_61496153/article/details/137641442

版权

本文讲述了在SpringBoot项目中发现的未授权访问漏洞，重点介绍了如何通过Actuator的heapdump接口获取内存泄露的敏感信息，以及使用JVisualVM、EclipseMemoryAnalyzer和heapdump_tool等工具进行分析的过程。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

记一次某项目 SpringBoot 未授权访问漏洞挖掘

简介

Actuator是 SpringBoot 提供的用来对应用系统进行自省和监控的功能模块，借助Actuator，开发者

可以很方便地对应用系统某些监控指标进行查看统计等。

/info	显示应用信息
/shutdown	关闭应用程序
/restart	重启应用程序
/logfile	输出日志文件内容
/metrics	显示应用的指标信息
/auditevents	显示审计事件信息
/metrics/{name}	显示具体指标
/autocofig	显示自动配置的使用情况
/configgrops	显示配置属性，包括默认配置
/trace	显示最近的http包信息（时间戳、http头、系统存活的cookie信息等）
/heapdump	返回一个压缩的hprof堆dump文件（JVM内存信息，分析明文密码）
/mappings	查看全部URI路径，以及它们和控制器（包含actuator端点）的映射关系
/env	查看环境变量