SpringBoot druid监控页未授权访问漏洞

Posted 2021-09-07 MonsterTiny

druid作为数据库连接池，默认配置监控页存在漏洞，可以通过直接通过GET /druid/index.html 直接访问，存在数据库数据泄露的风险。

解决方法：

在配置文件中禁用druid监控页或添加用户名密码

spring:
  datasource:
    druid:
      stat-view-servlet:
        # 是否启用StatViewServlet(监控页面),默认true-启动，false-不启动
        enabled: false
        url-pattern: '/druid/*'
        # IP白名单(没有配置或者为空，则允许所有访问)
        allow: 127.0.0.1,192.168.0.1
        # IP黑名单(存在共同时,deny优先于allow)
        deny: 192.168.0.0
        # 禁用html页面上的"Reset All"功能
        reset-enable: false
        # 登录名
        login-username: username
        # 登录密码
        login-password: password