前言
在java项目中，经常会使用一些监控类的组件来监控系统的状态，如果对这些组件没有做好权限控制，公网可以任意访问的话，就会泄露敏感信息，进一步造成更严重的危害。今天就来看一下，都有哪些组件。
关于java安全的系列已经出了10篇，大家感兴趣可以去看一下，后续会继续出关于java安全方面的内容，如java内存马，Weblogic系列，spring框架系统漏洞等。
由于本人水平有限，文章中可能会出现一些错误，欢迎各位大佬指正，感激不尽。如果有什么好的想法也欢迎交流~~
java项目中可能造成未授权的组件。
Druid未授权漏洞
Druid是阿里巴巴数据库出品的，为监控而生的数据库连接池，并且Druid提供的监控功能，监控SQL的执行时间、监控Web URI的请求、Session监控，首先Druid是不存在什么漏洞的。但当开发者配置不当时就可能造成未授权访问。
检测与利用：
直接在网站的url中后加上：
/druid/index.html
如果可以无需登录，即可登录到Druid监控界面，则说明该网站存在Druid未授权访问漏洞！
从这里可以看到，Druid数据监控界面，里面存在数据源，sql监控，sql防火墙，web应用，url监控，session监控，sp
最低0.47元/天 解锁文章
3797
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
