01 Druid未授权错误及解决方案

目录

[1 问题描述](#1 问题描述)

[2 解决方案](#2 解决方案)

[2.1 处理思路](#2.1 处理思路)

[2.2 具体操作](#2.2 具体操作)

[3 过程中遇到困难](#3 过程中遇到困难)


Druid是阿里巴巴数据库出品的,为监控而生的数据库连接池,并且Druid提供的监控功能,监控SQL的执行时间、监控Web URI的请求、Session监控,首先Druid是不存在什么漏洞的。但当开发者配置不当时就可能造成未授权访问。

1 问题描述

直接在网站的url中后加上:/druid/index.html

如果可以无需登录,即可登录到Druid监控界面,则说明该网站存在Druid未授权访问漏洞!

如果没有安全漏洞,则要么是出现登录界面,要么直接弹Whitelabel Error Page错误了。

危害:

监控界面会显示数据源,sql监控,sql防火墙,web应用,url监控,session监控,spring监控等信息,可以详细监控该网站的情况,获取敏感信息,攻击者无需登录即可直接获取这些信息。如果有Druid未授权漏洞,则可能会造成数据泄露、服务器失陷等危害。

2 解决方案

2.1 处理思路

这类Druid未授权漏洞的处理建议为:

  1. 设置StatViewServlet(监控页面)为 false。
  2. 给druid的web页面设置账户密码,增加访问druid的权限。

2.2 具体操作

修改java程序的yml文件,在yml文件中找到如下内容

java 复制代码
spring:
  datasource:
    druid:
      max-active: 10
      min-idle: 1
      stat-view-servlet:
        # 是否启用StatViewServlet(监控页面),默认true-启动,false-不启动
        enabled: true
        # 禁用HTML页面上的"Reset All"功能
        reset-enable: false
        # 设置账户名称(增加登录权限)
        login-username: xxxx
        # 设置账户密码
        login-password: xxxxxxxx
        # IP白名单(没有配置或者为空,则允许所有访问)
        allow: 127.0.0.1
        # IP黑名单(存在共同时,deny优先于allow)
        deny: 10.0.0.1
        # 自定义druid连接
        url-pattern: '/druid/*'

方案1:如果enabled设置为true,同时设置了账户密码,则用户访问/druid/index.html页面时,会弹出登录界面:

用户在登录之后,即可查看后台监控信息。

方案2:如果enabled设置为false,相当于把监控页面关了,会弹出如下界面:

3 过程中遇到困难

由于我是在本地打的jar包,然后在服务器上启动的,运行过程中遇到的几个坑:

  1. 修改yml文件后,要本地运行一下,如果报错直接跳过不用管,然后再打包;如果直接打包,可能打的不是你修改的yml
  2. 将打的包拷贝到服务器后,在启动服务之前,要使用 ps aux指令查看一下是否存在你这个jar包的进程
    1. 如果有,找到进程的PID,
      1. 然后使用 kill -9 PID命令,将这个正在运行的PID关掉。(排查过程可以从index.html页面上的日期和你的jar包的名称快速定位到要找的PID)
      2. 然后使用 java -jar **.jar命令,启动你新编译的jar包。
    2. 如果没有,直接使用 java -jar **.jar命令,启动你新编译的jar包。
  3. 启动完成后,会在控制台出现 startup的字样,说明启动成功了;如果没弹出来,就再检查下,看看是不是上面的步骤没有做到位。
  4. 在启动jar包时,如果希望该jar包一直运行,则需要使用指令 java -jar **.jar & 命令;不加 & 则可能在息屏时,jar包会停止运行。
相关推荐
大数据CLUB8 小时前
基于spark的奥运会奖牌变化数据分析
大数据·hadoop·数据分析·spark
Edingbrugh.南空8 小时前
Hadoop高可用集群搭建
大数据·hadoop·分布式
无级程序员1 天前
hive2服务启动报错:/tmp/hive on HDFS should be writable(不是chmod 777能解决的)
hive·hadoop·hdfs
rui锐rui1 天前
大数据学习2:HIve
大数据·hive·学习
凌辰揽月1 天前
Servlet学习
hive·学习·servlet
weixin_307779132 天前
Hive集群之间迁移的Linux Shell脚本
大数据·linux·hive·bash·迁移学习
王小王-1232 天前
基于Hadoop的公共自行车数据分布式存储和计算平台的设计与实现
大数据·hive·hadoop·分布式·hadoop公共自行车·共享单车大数据分析·hadoop共享单车
王小王-1232 天前
基于Hadoop的大规模文本词频统计分析系统设计与实现
hadoop·mapreduce·hadoop词频统计·hadoop文本统计·mapreduce词频统计
陈敬雷-充电了么-CEO兼CTO2 天前
推荐算法系统系列>推荐数据仓库集市的ETL数据处理
大数据·数据库·数据仓库·数据挖掘·数据分析·etl·推荐算法
桂成林2 天前
Hive UDF 开发实战:MD5 哈希函数实现
hive·hadoop·哈希算法