1. 前景提要Log4j 史诗级漏洞这几天闹的沸沸扬扬，让我也想一探究竟，到底是怎么触发的。2. 搭建一个集成 Log4j 的 SpringBoot 项目根据 spring 官网的指引，创建一个 springboot 项目，然后对 pom 文件进行一个修改<dependencies>
<dependency>
<groupId&
转载
2024-02-21 10:38:59
63阅读
文章目录*漏洞保护**9.1CSRF攻击与防御**9.1.1CSRF简介**9.1.2CSRF攻击演示**9.1.3CSRF防御**令牌同步模式**`SameSite`**需要注意的问题**9.1.4源码分析**`CsrfToken`**`CsrfTokenRepository`**`CsrfFilter`**`CsrfAuthenticationStrategy`**9.2HTTP响应头处理*
转载
2024-04-18 11:49:24
189阅读
目录一、文件上传1、页面表单2、文件上传代码3、自动配置原理二、异常处理错误处理1、默认规则2、定制错误处理逻辑3、异常处理自动配置原理4、异常处理步骤流程一、文件上传1、页面表单<form method="post" action="/upload" enctype="multipart/form-data">
<input type="file" name="file
转载
2024-02-20 10:24:12
0阅读
一、概述3月底Spring Framework爆出严重级别的安全漏洞，该漏洞允许黑客进行任意命令执行。在3月31日Spring Framework官方发布了5.3.18以及5.2.20修复了该漏洞，随后该漏洞编号为CVE-2022-22965，这个漏洞也是先发布修复版本，后分配CVE编号的。从官网可知该漏洞存在的条件：使用JDK9及以上版本使用Apache Tomcat作为容器使用了传统的WAR包
转载
2024-04-16 14:10:55
271阅读
目录1、CVE-2017-4971触发漏洞的条件1.1.登陆1.2：访问存在漏洞的页面1.3.漏洞利用2、CVE-2018-1273（远程命令执行漏洞）(SPEL表达式注入漏洞)漏洞利用条件和方式2.1.信息收集2.2.攻击利用2.3.漏洞验证3、CVE-2022-22963（SPEL命令表达式注入漏洞）漏洞原理3.1.使用服务器发送以下数据3.2.攻击利用3.3.漏洞验证以下框架漏洞均为Spri
转载
2024-08-29 13:02:44
344阅读
一、OAuth2.0协议1、OAuth2.0概述OAuth2.0是一个关于授权的开放网络协议。该协议在第三方应用与服务提供平台之间设置了一个授权层。第三方应用需要服务资源时，并不是直接使用用户帐号密码登录服务提供平台，而是通过服务提供平台的授权层获取token令牌，用户可以在授权时指定token的权限范围和有效期。第三方应用获取到token以后，才可以访问用户资源。 OAut
转载
2024-08-19 01:18:56
55阅读
在日常项目中，除了开发过程比较重要以外，实际上运维过程也尤为重要。而Spring Boot 也为我们考虑到了这一点，它为我们提供了Actuator这一组件,帮助我们监控、管理应用程序。正如官网中所说的那样，它可以通过很小的动作产生巨大的变化一起来探索一下~一 原理01. 什么是ActuatorSpring Boot Actuator，可在您将应用程序投入生产时帮助您监控和管理应用程序。分别支持HT
转载
2024-07-26 09:24:02
161阅读
漏洞描述 【安全预警】 Apache Dubbo 远程代码执行漏洞、Spring Boot配置不当及微软1月补丁漏洞部分网站数据库存在Spring Boot 配置不当漏洞，利用网站数据库Spring Boot 漏洞可读取 Redis 数据库用户名 和密码。连接数据库可查询掌握运维综合服务平台管理员口
原创
2024-01-28 20:04:40
0阅读
<dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> <version>2.5.2</version></dependency> p ...
转载
2021-07-13 16:29:00
232阅读
2评论
目录0x01、什么是未授权漏洞0x02、SpringBoot Actuator 未授权访问0x03 SwaggerUI未授权访问漏洞0x01、什么是未授权漏洞未授权访问漏洞可以理解为需要安全配置或权限认证的地址、授权页面存在缺陷导致其他用户可以直接访问从而引发重要权限可被操作、数据库或网站目录等敏感信息泄露。0x02、SpringBoot Actuator 未授权访问2.1 漏洞简介Actuato
转载
2024-04-01 22:22:09
444阅读
【代码】Spring Boot Actuator未授权访问漏洞处理。
文章目录场景解决方案方案一 配置健康检查遇到的问题方案二 配置security(略)场景公司安扫，发现很多项目有 Spring Boot Actuator未授权访问漏洞。 描述： 引入actuator的项目，很多路径未授权就可以访问。例如： /info、/beans等。 实际这些都不应开放，最对只开放个健康检查/health。解决方案方案一 配置健康检查en
原创
2023-02-28 02:24:32
1512阅读
6.2 Spring的AOPAOP（Aspect Orient Programming），也就是面向切面编程，作为面向对象编程的一种补充。问世的时间并不太长，甚至在国内的翻译还不太统一（有些书翻译成面向方面编程），但它确实极好地补充了面向对象编程的方式。面向对象编程将程序分解成各个层次的对象，而面向切面编程将程序运行过程分解成各个切面。可以这样理解，面向对象编程是从静态角度考虑程序结构，面向切面编
转载
2024-07-15 20:24:37
154阅读
Spring Security OAuth2客户端凭据授权概述在没有明确的资源拥有者，或对于客户端来说资源拥有者不可区分，该怎么办？这是一种相当常见的场景。比如后端系统之间需要直接通信时，将使用客户端凭据授权。OAuth2.0文档描述客户端凭据授权：客户端使用客户端凭据授予类型来获取用户上下文之外的访问令牌。这通常被客户端用来访问关于他们自己的资源，而不是访问用户的资源。在本文中，您将了解使用Sp
转载
2024-02-24 18:00:49
39阅读
关于Spring Boot Actuator漏洞补救方案Spring Boot Actuator漏洞自查处理漏洞 Spring Boot ActuatorSpring Boot Actuator 提供了项目的健康检查，审计，指标收集，HTTP 跟踪等，是帮助项目监控和管理Spring Boot 应用的模块。
这个模块采集应用的内部信息，展现给外部模块，可以查看应用配置的详细信息，例如自动化配置信
转载
2024-02-22 23:47:55
90阅读
SpringBoot应用监控Actuator使用的安全隐患,一不小心线上就中招了，分分钟就能搞死你的线上服务，如果是eureka，则会发现eureka不知觉的就把你剔除了；Actuator 简介 如上所言，actuator 是 springboot 提供的用来对应用系统进行自省和监控的功能模块。其提供的执行器端点分为两类：原生端点和用户自定义扩展端点，原生端点主
转载
2024-04-15 13:09:11
221阅读
【漏洞公告】Spring 框架及组件多个安全漏洞2018年5月8日，阿里云云盾应急响应中心监测到Spring官方发布3个严重，2个高危漏洞，漏洞涉及Spring Messaging组件，Spring Security框架，Spring Data 框架等多个模块，攻击者可利用该漏洞实施远程代码执行攻击，DoS，绕过安全限制获取敏感信息。漏洞详情见下文漏洞编号CVE-2018-1257CVE-2018
转载
2024-04-30 20:55:37
60阅读
相信每一个程序员都经历过这样的绝望，他有一个很优美的名字---霸气侧漏(内存泄漏)，今天就和大家来聊一下内存泄漏的问题，当然纯粹讲概念没什么太大的意思，结合实际操作可能更好理解，所以，今天的课程讲解，除了讲解理论知识之外，还会结合我在实际的生产环境中关于springboot排查内存泄漏进行讲解什么是内存泄漏一般来说，一个健康的程序，它是不应该出现OOM的。内存里的对象从生到死，井然有序。但由于一些
转载
2023-11-02 09:08:19
720阅读
一、什么是Actuator Actuator是spring boot的一个附加功能,可帮助你在应用程序生产环境时监视和管理应用程序。可以使用HTTP的各种请求来监管,审计,收集应用的运行情况。Spring Boot Actuator提供了对单个Spring Boot的监控，信息包含：应用状态、内存、线程、堆栈等等，比
转载
2023-12-27 14:54:54
117阅读
从头开始Spring Boot 之Actuator有什么用Actuator(指示器)，为应用提供了健康检查、监控、统计等功能。Actuator同时还可以与外部应用监控系统整合，通过监控系统的仪表盘监控应用状况。引入依赖<dependencies>
<dependency>
<groupId>org.springframework.boot
转载
2023-07-28 15:38:56
257阅读
