RabbitMQ未授权访问漏洞
RabbitMQ是目前非常热门的一款消息中间件，基于AMQP协议的，可以在发布者和使用者之间交换异步消息。消息可以是人类可读的JSON，简单字符串或可以转换为JSON字符串的值列表。
-------
漏洞复现
步骤一:使用以下Fofa语法对RabbitMQ产品进行搜索.
port="15672"
port="15692"
port="25672"步骤二:在打开的页面中可输入默认的账号和密码进行登陆
-------
漏洞修复
1.修改为强密码，删除默认的账号guest。
2.禁止对外网开放，仅限于内部访问。
--------------------------------------
Springboot Actuator未授权访问漏洞
Actuator 是 springboot 提供的用来对应用系统进行自省和监控的功能模块，借助于 Actuator 开发者可以很方便地对应用系统某些监控指标进行查看、统计等。在 Actuator 启用的情况下，如果没有做好相关权限控制，非法用户可通过访问默认的执行器端点(endpoints)来获取应用系统中的监控信息，从而导致信息泄露甚至服务器被接管的事件发生。
------
Actuator
Actuator 是 springboot 提供的用来对应用系统进行自省和监控的功能模块。其提供的执行器端点分为两类:原生端点和用户自定义扩展端点，原生端点主要有:
------
漏洞复现
步骤一:使用以下Fofa语句搜索资产并打开页面访问.
#Fofa语法 icon_hash="116323821"步骤二: 当 web 应用程序出现 4xx、5xx 错误时显示类似以下页面就能确定当前 web 应用是使用了springboot 框架....
步骤三:拼接以下路径查看泄露的数据..
-----
漏洞修复
1.禁用/env接口。
2.升级到Springboot actuator 2.0。
3.禁止对外开放。
--------------------------------
FTP未授权访问漏洞(匿名登陆)
FTP 弱口令或匿名登录漏洞，一般指使用 FTP 的用户启用了匿名登录功能，或系统口令的长度太短、复杂度不够、仅包含数字、或仅包含字母等，容易被黑客攻击，发生恶意文件上传或更严重的入侵行为。
---
漏洞复现
步骤一:对目标环境在资源管理器中用以下格式访问...如果该服务器开启了匿名登陆，则可直接进行内容查看. ftp://ip:port/
-------
漏洞修复
1.禁止匿名登录