Druid监控默认密码未修改，存在安全风险如何解决？

Question

在使用Druid作为数据库连接池时，其内置的监控功能默认账号为“admin”，密码为“123456”。若未修改此默认密码，将导致严重的安全风险，攻击者可能非法访问系统敏感信息或篡改配置。 解决方法如下：首先，在Spring Boot项目中，通过application.properties或application.yml文件配置自定义账号与密码。例如，设置spring.datasource.druid.stat-view-servlet.loginUsername为新用户名，spring.datasource.druid.stat-view-servlet.loginPassword为复杂密码。其次，限制IP访问范围，仅允许特定IP地址访问Druid监控页面，通过配置spring.datasource.druid.stat-view-servlet.allow参数实现。最后，可考虑关闭Druid监控页面或启用HTTPS加密传输，进一步提升安全性。这些措施能有效防止因默认密码未修改引发的安全隐患。

Answer 1

1. 问题概述

在使用Druid作为数据库连接池时，其内置的监控功能默认账号为“admin”，密码为“123456”。若未修改此默认密码，将导致严重的安全风险。攻击者可能通过该默认账号非法访问系统敏感信息或篡改配置。

以下是可能导致安全问题的具体场景：

• 外部攻击者利用默认账号密码直接登录Druid监控页面。
• 内部员工因疏忽未修改默认配置，导致潜在漏洞被恶意利用。
• 监控页面暴露在外网，未采取任何IP限制措施。

接下来我们将从多个角度分析并解决这一问题。

2. 配置自定义账号与密码

首先，需要在Spring Boot项目中通过application.properties或application.yml文件配置自定义账号与密码，避免使用默认值。

# application.properties配置示例
spring.datasource.druid.stat-view-servlet.loginUsername=customAdmin
spring.datasource.druid.stat-view-servlet.loginPassword=StrongP@ssw0rd!

上述代码中，我们设置了新的用户名和复杂密码，以替代默认的“admin”和“123456”。复杂密码应包含大小写字母、数字及特殊字符，以增强安全性。

如果使用application.yml格式，则可以这样配置：

# application.yml配置示例
spring:
  datasource:
    druid:
      stat-view-servlet:
        loginUsername: customAdmin
        loginPassword: StrongP@ssw0rd!

3. 限制IP访问范围

为了进一步提升安全性，可以通过配置spring.datasource.druid.stat-view-servlet.allow参数，仅允许特定IP地址访问Druid监控页面。

参数名称	作用	示例值
spring.datasource.druid.stat-view-servlet.allow	指定允许访问的IP地址范围	192.168.1.1, 127.0.0.1
spring.datasource.druid.stat-view-servlet.deny	指定禁止访问的IP地址范围	0.0.0.0/0

例如，允许本地访问并拒绝其他所有IP地址：

spring.datasource.druid.stat-view-servlet.allow=127.0.0.1
spring.datasource.druid.stat-view-servlet.deny=0.0.0.0/0

4. 进一步的安全措施

除了修改默认密码和限制IP访问外，还可以采取以下措施：

1. 关闭Druid监控页面：如果不需要使用监控功能，可以直接禁用它。
2. 启用HTTPS加密传输：确保数据在网络传输过程中不被窃取或篡改。

以下是关闭Druid监控页面的配置示例：

spring.datasource.druid.stat-view-servlet.enabled=false

对于HTTPS配置，可以通过以下步骤实现：

1. 生成SSL证书（可以是自签名证书或购买可信证书）。
2. 在Spring Boot中配置SSL相关信息。

5. 安全配置流程图

以下是整个安全配置的流程图，帮助理解各步骤之间的关系：

graph TD;
            A[开始] --> B[修改默认账号密码];
            B --> C[限制IP访问范围];
            C --> D[关闭监控页面或启用HTTPS];
            D --> E[完成];