4.3 Java

2019-12-03  本文已影响0人  最酷的崽_ec69

4.3.1. 基本概念

4.3.1.1. JVM

  JVM是Java平台的核心，以机器代码来实现，为程序执行提供了所需的所有基本功能，例如字节码解析器、JIT编译器、垃圾收集器等。由于它是机器代码实现的，其同样受到二进制文件受到的攻击。
  JCL是JVM自带的一个标准库，含有数百个系统类。默认情况下，所有系统类都是可信任的，且拥有所有的特权。

4.3.1.2. JNDI

  JNDI（Java Naming and Directory Interface，JAVA命名和目录接口）是为JAVA应用程序提供命名和目录访问服务的API（Application Programing Interface，应用程序编程接口）。

4.3.1.3. OGNL

  OGNL（Object-Graph Navigation Language，对象导航语言）是一种功能强大的表达式语言，通过简单一致的表达式语法，提供了存取对象的任意属性、调用对象的方法、遍历整个对象的结构图、实现字段类型转化等功能。
  Struts2中使用了OGNL，提供了一个ValueStack类。ValueStack分为root和context两部分。root中是当前的action对象，context中是ActionContext里面所有的内容。

4.3.1.4. RMI

  RMI（Remote Method Invocation，远程方法调用）能够让在客户端Java虚拟机上的对象像调用本地对象一样调用服务端java虚拟机中的对象上的方法。
  RMI远程调用步骤：

4.3.2. 框架

4.3.2.1. Servlet

4.3.2.1.1. 简介

  Servlet（Server Applet）是Java Servlet的简称，称为小服务程序或服务连接器，是用Java编写的服务器端程序，主要功能在于交互式地浏览和修改数据，生成动态Web内容。
  狭义的Servlet是指Java语言实现的一个接口，广义的Servlet是指任何实现了这个Servlet接口的类，一般情况下，人们将Servlet理解为后者。Servlet运行于支持Java的应用服务器中。从原理上讲，Servlet可以响应任何类型的请求，但绝大多数情况下Servlet只用来扩展基于HTTP协议的Web服务器。

4.3.2.1.2. 生命周期为

4.3.2.1.3. 接口

init()
  在 Servlet 的生命期中，仅执行一次 init() 方法，在服务器装入 Servlet 时执行。
service()
  service() 方法是 Servlet 的核心。每当一个客户请求一个HttpServlet对象，该对象的 service() 方法就要被调用，而且传递给这个方法一个"请求"(ServletRequest)对象和一个"响应"(ServletResponse)对象作为参数。

4.3.2.2. Struts 2

4.3.2.2.1. 简介

  Struts2是一个基于MVC设计模式的Web应用框架，它本质上相当于一个servlet，在MVC设计模式中，Struts2作为控制器(Controller)来建立模型与视图的数据交互。

4.3.2.2.2. 请求流程

4.3.2.2.3. 相关CVE

4.3.2.3. Spring MVC

4.3.2.3.1. 请求流程

4.3.3. 容器

  常见的Java服务器有Tomcat、Weblogic、JBoss、GlassFish、Jetty、Resin、IBM Websphere等，这里对部分框架做一个简单的说明。

4.3.3.1. Tomcat

  Tomcat是一个轻量级应用服务器，在中小型系统和并发访问用户不是很多的场合下被普遍使用，用于开发和调试JSP程序。
  在收到请求后，Tomcat的处理流程如下：

4.3.3.1.1. 相关CVE

4.3.3.2. Weblogic

4.3.3.2.1. 简介

  WebLogic是美国Oracle公司出品的一个Application Server，是一个基于Java EE架构的中间件，WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。其将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。
  WebLogic对业内多种标准的全面支持，包括EJB、JSP、Servlet、JMS、JDBC等。

4.3.3.2.2. 相关CVE

4.3.3.3. JBoss

4.3.3.3.1. 简介

  JBoss是一个基于J2EE的管理EJB的容器和服务器，但JBoss核心服务不包括支持servlet/JSP的WEB容器，一般与Tomcat或Jetty绑定使用。

4.3.3.3.2. 相关CVE

4.3.4. 沙箱

4.3.4.1. 简介

  Java实现了一套沙箱环境，使远程的非可信代码只能在受限的环境下执行。

4.3.4.2. 相关CVE

4.3.5. 反序列化

4.3.5.1. 简介

  序列化就是把对象转换成字节流，便于保存在内存、文件、数据库中；反序列化即逆过程，由字节流还原成对象。Java中的 ObjectOutputStream 类的 writeObject() 方法可以实现序列化，类 ObjectInputStream类的readObject() 方法用于反序列化。
  如果要实现类的反序列化，则是对其实现 Serializable 接口。

4.3.5.2. 序列数据结构

4.3.5.3. 序列化流程

4.3.5.4. 反序列化流程

4.3.5.5. 相关函数

4.3.5.6. 主流JSON库

4.3.5.6.1. GSON

  Gson默认只能反序列化基本类型，如果是复杂类型，需要程序员实现反序列化机制，相对比较安全。

4.3.5.6.2. Jackson

  除非指明@jsonAutoDetect，Jackson不会反序列化非public属性。在防御时，可以不使用enableDefaultTyping方法。
  相关CVE有

4.3.5.6.3. Fastjson

  相关CVE有

4.3.5.7. 存在危险的基础库

4.3.5.8. 漏洞修复和防护

4.3.5.8.1. Hook resolveClass

  在使用 readObject() 反序列化时会调用 resolveClass 方法读取反序列化的类名，可以通过hook该方法来校验反序列化的类，一个Demo如下

@Override
protected Class<?> resolveClass(ObjectStreamClass desc) throws IOException, ClassNotFoundException {
    if (!desc.getName().equals(SerialObject.class.getName())) {
        throw new InvalidClassException(
                "Unauthorized deserialization attempt",
                desc.getName());
    }
    return super.resolveClass(desc);
}

  以上的Demo就只允许序列化 SerialObject ，通过这种方式，就可以设置允许序列化的白名单

4.3.5.8.2. ValidatingObjectInputStream

  Apache Commons IO Serialization包中的 ValidatingObjectInputStream 类提供了 accept 方法，可以通过该方法来实现反序列化类白/黑名单控制，一个demo如下

private static Object deserialize(byte[] buffer) throws IOException, ClassNotFoundException , ConfigurationException {
    Object obj;
    ByteArrayInputStream bais = new ByteArrayInputStream(buffer);
    ValidatingObjectInputStream ois = new ValidatingObjectInputStream(bais);
    ois.accept(SerialObject.class);
    obj = ois.readObject();
    return obj;
}

4.3.5.8.3. ObjectInputFilter

  Java 9提供了支持序列化数据过滤的新特性，可以继承 java.io.ObjectInputFilter 类重写 checkInput 方法来实现自定义的过滤器，并使用 ObjectInputStream 对象的 setObjectInputFilter 设置过滤器来实现反序列化类白/黑名单控制。

4.3.6. 参考链接

4.3.6.1. 官方文档

4.3.6.2. 反序列化

4.3.6.3. 沙箱

4.3.6.4. 框架

4.3.6.5. 其他

上一篇下一篇

猜你喜欢

热点阅读