H2 Database Console未授权访问漏洞封堵

毕小宝2024-07-05 22:49

背景

H2 Database Console未授权访问，默认情况下自动创建不存在的数据库，从而导致未授权访问。各种未授权访问的教程，但是它怎么封堵呢？

-ifExists

很简单，启动参数添加 -ifExists ，它的含义：

$-ifExists$ Only existing databases may be opened (all servers)

应用出厂时先创建好数据库文件后，修改启动脚本，添加该参数：

bash 复制代码

dir=$(dirname "$0")
nohup java -cp "$dir/h2-2.x.xx.jar:$H2DRIVERS:$CLASSPATH" org.h2.tools.Server -tcpAllowOthers -webAllowOthers -tcpPort -ifExists "$@" &

这样启动 h2 后首次访问时会因为 test 数据库不存在而无法连接：

只有输入正确的出厂数据库路径、帐号和密码，才能连接到操作页面。

其他尝试

还有一个 -webAdminPassord 参数，但是加上后一直报不支持的操作异常，最后只好作罢。