【工具分享】一款HeapDump敏感信息提取工具

工具介绍

在日常的渗透测试工作中，常遇到spring actuator未授权漏洞，而在实战中利用价值最大的是可下载的heapdump文件。

HeapDump也叫堆转储文件，是一个Java进程在某个时间点上的内存快照，主要保存了java对象和类的信息。

我们可以通过Heap Dump做哪些事情？

一般在渗透测试中我们会通过工具对泄露的heapdump文件进行分析，查询加载到内存中的密码和密钥信息，比如redis密码，mysql数据库账号和密码等信息。

编译方法

需要Maven、JDK 1.8。

首先需要将netbeans-lib-profiler导入本地maven仓库

$ cd lib/``$ mvn install:install-file -Dfile=netbeans-lib-profiler.jar -DgroupId=netbeans -DartifactId=netbeans-lib-profiler -Dversion=1.0 -Dpackaging=jar

导入完成后切换至项目根目录，运行编译打包命令

$ mvn package

→点击获取网络安全资料·攻略←

200多本网络安全系列电子书
网络安全标准题库资料
项目源码
网络安全基础入门、Linux、web安全、攻防方面的视频
网络安全学习路线图

支持范围

暂支持提取以下类型的敏感信息

• 数据源

• SpringDataSourceProperties

• WeblogicDataSourceConnectionPoolConfig

• MongoClient

• AliDruidDataSourceWrapper

• HikariDataSource