無需修改源碼，處理spring boot未授權(quán)訪問及Swagger漏洞處理

漏洞說明

spring boot未授權(quán)訪問

風險程度:【高?！?br>漏洞概述：
未授權(quán)訪問可以理解為需要安全配置或權(quán)限認證的地址、授權(quán)頁面存在缺陷，導致其他用戶可以直接訪問，從而引發(fā)重要權(quán)限可被操作、數(shù)據(jù)庫、網(wǎng)站目錄等敏感信息泄露。登陸驗證一般的方式都是將用戶在登錄口輸入的賬號密碼拿去與數(shù)據(jù)庫中的記錄做驗證，并且要求輸入的賬號密碼要等于數(shù)據(jù)庫中某條記錄的賬號密碼，驗證通過則程序就會給用戶一個session，然后進入后臺，否則就返回到登陸口。然而攻擊者可以找到一些缺乏權(quán)限驗證的URL，直接繞過登錄執(zhí)行數(shù)據(jù)庫查詢，構(gòu)成未授權(quán)訪問。
漏洞危害：
攻擊者可繞過登錄驗證非法訪問資源，如后臺功能、敏感文件等。
整改建議：
建議增加漏洞頁面（接口）的訪問認證，防止未授權(quán)訪問直接瀏覽訪問或調(diào)用。
涉及的請求地址包括但不限于：

1. [http://ip:port/env/]
2. http://ip:port/mappings
3. http://ip:port/dump/

Swagger接口文檔泄露

風險程度:【高?！?br>漏洞概述：
Swagger生成的[API文檔]，是直接暴露在相關(guān)web路徑下的。所有人均可以訪問查看。通過這一點即可獲取項目上所有的接口信息。那么結(jié)合實際業(yè)務(wù)，例如如果有文件讀取相關(guān)的接口，可能存在任意文件下載，相關(guān)的業(yè)務(wù)訪問可能存在未授權(quán)訪問等。
漏洞危害：
業(yè)務(wù)敏感信息泄露后可能會對用戶帶來危害，系統(tǒng)敏感信息泄露可能會協(xié)助攻擊者提供更多的攻擊途徑和方法。
整改建議：
結(jié)合SpringSecurity/shiro進行認證授權(quán)，將Swagger-UI的URL加入到各自的認證和授權(quán)過濾鏈中，當用戶訪問Swagger對應的資源時，只有通過認證授權(quán)的用戶才能進行訪問。
涉及的請求地址包括但不限于：

1. [http://ip:port/swagger-ui.html#/cag45controller]
2. http://ip:port/v2/api-docs

漏洞處理

spring boot未授權(quán)訪問

官方給的整改建議，涉及修改代碼，不方便實施。若涉及到的請求地址非必須，則可以通過修改配置文件進行處理：

# 若原來的配置如下，則表明訪問時不需要認證，可直接訪問，此時刪除此配置即可。
management.security.enabled=false

上述方案親測有效。

從網(wǎng)上查找，有如下方案（此方案未親測），增加配置：

management.endpoints.web.exposure.exclude=env,heapdump,threaddump,mappings

或者是（未親測），增加配置：

# 完全禁用actuator
management.server.port=-1

Swagger接口文檔泄露

官方給的建議或網(wǎng)上其他帖子給的方案，都涉及修改代碼，在生產(chǎn)環(huán)境下，一旦涉及代碼修改，動作過大，又要重新測試、發(fā)布，太麻煩。
我采用的方案是通過nginx配置，過濾掉漏洞涉及的url，禁止方案，nginx中增加如下配置，親測有效：

server { 
    listen       8081; 
    server_name  127.0.0.1; 
		if ($request_uri ~* "/swagger-ui") {
			return 403;
		}
		if ($request_uri ~* "/api-docs") {
			return 403;
		}
    location / {
        proxy_pass  http://127.0.0.1:8080;
    }
}

注意，上述server_name，要換成自己系統(tǒng)的域名或服務(wù)器ip地址；listen和location重定向的ip、端口信息，要結(jié)合自己的實際情況修改。文章來源地址http://www.zghlxwxcb.cn/news/detail-562319.html

到了這里，關(guān)于spring boot未授權(quán)訪問及Swagger漏洞處理的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！