HeapDump【敏感信息提取工具】

admin 2025年2月11日14:11:08评论30 views字数 1381阅读4分36秒阅读模式

近期在搞安全演练,每天可忙得晕头转向。总是要对各种使用 Spring 框架的 Java 应用程序进行安全审计,检查它们是否存在信息泄露这类安全隐患。这时候,发现 Spring 框架的 Java 应用程序有个常见的问题,就是生成的 heapdump 文件可能会包含敏感信息,要是没处理好,就会导致数据泄露,像用户信息、密码、会话数据这些都会有危险。

我找到了一个还不错的开源网络安全工具,就是 heapdump_tool。这工具作用可大了,它能提取不少类型的敏感信息呢。

HeapDump【敏感信息提取工具】

在数据源方面,像 SpringDataSourceProperties、WeblogicDataSourceConnectionPoolConfig、MongoClient 这些里面的敏感信息它都能搞定;配置文件信息里,不管是 MapPropertySource、OriginTrackedMapPropertySource,还是各种其他类型的配置文件信息,也逃不过它的法眼;Redis 配置里的 RedisStandaloneConfiguration、JedisClient 相关内容同样能提取;还有 ShiroKey、CookieRememberMeManager 相关的,以及通过模糊搜索找出用户信息也不在话下。

HeapDump【敏感信息提取工具】

用上这个工具来解析就方便多了。它有多种查询方式,要是我想根据关键词查询,比如输入 password,它就能把包含这个关键词的信息找出来;我也可以按照字符长度查询,像输入 len = 10 就能获取长度为 10 的所有 key 或者 value 值;还能按顺序获取,输入 num=1 - 100 就能得到顺序 1 - 100 的字符。如果要对类进行模糊搜索,输入 class = xxx 就能获取该类的 instance 数据信息;用 id = 0xaaaaa 可以获取指定 id 的 class 或者 object 数据信息;甚至可以用上正则查询。

HeapDump【敏感信息提取工具】

想要获取工具的小伙伴可以直接拉至文章末尾

我们来提取并讨论上述工具描述中涉及的网络安全关键技术点:

1、敏感信息提取技术:
    • 能够从heapdump文件中提取多种类型的敏感信息,如数据源、配置文件信息、Redis配置、ShiroKey以及模糊搜索用户信息等,这涉及到对不同数据结构和类型的解析技术。 
2、测试环境搭建技术:
    • 在特定环境(Windows10 + jdk8)下搭建测试环境,包括代码克隆、打包和运行等操作,这需要掌握相关的开发工具(如git、mvn)以及Java应用的部署技术。
3、目录扫描技术:
    • 利用Dirsearch工具对目标网站进行目录扫描,能够识别众多路径,这需要对目标网站的结构和常见路径有深入了解,以及掌握扫描工具的使用方法。 要。
4、heapdump文件解析技术:
    • 使用heapdump_tool工具解析heapdump文件,该工具提供多种查询方式,如关键词查询、按字符长度查询、按顺序查询、类模糊搜索、id查询和正则查询等,这要求掌握文件解析算法和数据查询技术。 
5、信息保护技术:
    • 整体围绕Spring框架Java应用程序中heapdump信息泄露风险进行防范,包括发现风险、提取敏感信息等操作,这体现了针对特定框架的网络安全保护技术。 

下载链接

https://github.com/callicoder/spring-boot-actuator-demo

HeapDump【敏感信息提取工具】

原文始发于微信公众号(白帽学子):HeapDump【敏感信息提取工具】

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2025年2月11日14:11:08
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   HeapDump【敏感信息提取工具】https://cn-sec.com/archives/3725592.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉.

发表评论

匿名网友 填写信息