主机与服务风险面53 条

Druid 监控页与 SQL 面板暴露

Java 应用集成数据库连接池 Druid 后，默认会开启监控页（/druid/index.html 等），未加保护时页面会展示 SQL 语句、会话参数等运行时信息；Apache Druid 控制台 8888 默认也不带认证。

漏洞与攻击面速查安全更新于 2026-10-12

暴露验证

curl -s -o /dev/null -w '%{http_code}\n' http://app.example.com/druid/index.html
# 200 表示监控页可直接访问，应加保护或关闭

收敛配置示例

druid.stat-view-servlet.enabled=true
druid.stat-view-servlet.login-username=monitor
druid.stat-view-servlet.login-password=<强口令>
druid.stat-view-servlet.allow=10.0.0.0/8
# 或生产环境直接关闭 stat-view-servlet

Apache Druid 与 Druid 连接池是两个不同产品，都常用 /druid 前缀，核查时确认目标组件类型。

易错点

监控页加了登录但 allow 列表达到了整段内网，横向可达主机仍可尝试

数据来源与参考

Alibaba Druid 文档（stat-view-servlet 配置）
Apache Druid 文档（安全与认证）

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌