SpringBoot未授权访问漏洞实战：从探测到敏感信息提取
1. SpringBoot未授权访问漏洞初探
第一次遇到SpringBoot未授权访问漏洞时，我正帮朋友的公司做安全测试。当时随手输入了一个/actuator/env路径，没想到直接返回了数据库连接字符串和Redis密码，那种感觉就像在沙滩上捡到了保险箱钥匙。SpringBoot的Actuator模块本意是提供应用监控功能，但配置不当就会变成黑客的"自助信息台"。
这个漏洞的核心在于Actuator端点没有做权限控制。想象一下，你家装了智能门锁，但所有功能键都暴露在门外，谁都能按。常见的危险端点包括/env（环境变量）、/heapdump（内存快照）、/trace（请求记录）等，这些地方往往藏着数据库密码、API密钥、加密盐值等敏感信息。
去年某电商平台就因此泄露了千万级用户数据。攻击者通过/actuator/heapdump下载内存镜像，从中提取出了支付系统的加密密钥。这种漏洞利用成本极低，不需要任何专业工具，用浏览器就能完成初步探测。
2. 漏洞探测实战指南
2.1 手工探测技巧
我习惯先用Burp Suite抓包观察响应特征。正常的SpringBoot应用会返回类似{"_links":{"self":{"href":"http://example/actuator"}}}的JSON数据。如果直接访问/actuator返回404，可以尝试这些经典路径组合：
/actuator/env/actuator/health/actuator/metrics/actuator/beans
有个小技巧：在Chrome地址栏输入chrome://net-export/开启网络日志记录，然后用cat命令过滤包含actuator的请求：
cat chrome-net-export-log.json | grep -i actuator2.2 自动化扫描方案
对于批量检测，我推荐结合nmap和自定义脚本。先用nmap识别SpringBoot特征：
nmap -sV --script=http-title <target>然后使用这个Python脚本快速检测敏感端点：
import requests endpoints = ['env','heapdump','info','mappings'] for ep in endpoints: resp = requests.get(f'http://target/actuator/{ep}') if resp.status_code == 200: print(f"[!] Found vulnerable endpoint: /actuator/{ep}")3. 敏感信息提取全解析
3.1 环境变量泄露利用
/actuator/env端点就像应用的体检报告。有次我在其中发现了这样的字段：
"spring.datasource.password": "DB@Passw0rd!123", "aliyun.accessKeySecret": "LTAI5t******"实战中要注意这些关键字段：
- 包含
password、secret、key的配置项 - 云服务商（AWS/Aliyun）的凭证
- 邮件服务器SMTP配置
- 加密相关的
salt、iv参数
3.2 heapdump文件深度利用
下载heapdump文件后，先用JDK自带的jhat分析：
jhat -port 9999 heapdump.hprof但更高效的是使用heapdump_tool工具。最近遇到个案例，内存中提取出了加密的JWT密钥：
java -jar heapdump_tool.jar heapdump.hprof | grep -E 'password|key|secret'工具运行时会扫描这些关键区域：
- String常量池中的敏感字段
- 线程栈中的临时凭证
- 缓存中的用户会话信息
4. 进阶利用与防御方案
4.1 组合攻击路径
把获取的数据库密码在/actuator/hystrix.stream测试连接，有时能发现新的漏洞链。有次通过这种方式进入了内网Kubernetes集群：
- 从
/env获取Redis密码 - 通过Redis未授权访问写入SSH公钥
- 横向移动到Jenkins服务器
4.2 企业级防护建议
给运维团队的安全配置清单：
- 在application.properties中添加：
management.endpoints.web.exposure.include=health,info management.endpoint.health.show-details=never- 使用Spring Security配置端点权限：
@Bean public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception { http.requestMatcher(EndpointRequest.toAnyEndpoint()) .authorizeRequests(requests -> requests.anyRequest().hasRole("ADMIN")); return http.build(); }最近帮某金融客户做加固时，发现他们自定义了Actuator路径：
management.endpoints.web.base-path=/internal-monitor这种隐蔽化处理能有效减少自动化扫描的命中率。