前言

actuator如果没有做好访问控制，那么我们可以下载headdump文件，这个文件中包含了大量的敏感信息，接下来就来看看如何进行利用。

通常在/env目录下，可以看到存在passwd字段，但都做了脱敏展示，因此我们可以在headdump中去查找这些信息。

heapdump_tool工具

下载heapdump_tool工具

jhat是java提供的一个用于分析堆转储的工具。他可以帮忙开发者查看java应用程序在运行时的内存使用情况，从而定位内存泄露的问题。

当出现jhat未找到时，往往是我们没有配置环境变量。该文件一般在java的bin目录下，首先找到该文件在哪里，然后配置一下环境变量即可。

下载地址

https://github.com/wyzxxz/heapdump_tool

使用方式

查询方式：1. 关键词       例如 password 2. 字符长度     len=10    获取长度为10的所有key或者value值3. 按顺序获取   num=1-100 获取顺序1-100的字符4. class模糊搜索  class=xxx 获取class的instance数据信息5. id查询       id=0xaaaaa  获取id为0xaaaaa的class或者object数据信息4. re正则查询    re=xxx  自定义正则查询数据信息获取url,file,ipshirokey 获取shirokey的值geturl   获取所有字符串中的urlgetfile  获取所有字符串中的文件路径文件名getip    获取所有字符串中的ip

实际例子

运行该工具即可分析heapdump文件

java -jar heapdump_tool.jar heapdump

可以根据/env查找的值进行查询，如下

根据关键字进行查询，如查询mysql_password

获取/env中的明文密码还有其它的方式，如Jolokia，spring-cloud-starter-netflix-eureka-client等等。其它方式可以参考下面的文章：https://www.cnblogs.com/you-fish/p/18684618