java攻击_了解Java应用中的开发攻击

注入式(Inject)攻击是一类非常常见的攻击方式&＃xff0c;其基本特征是允许攻击者将不可信的动态内容注入到程序中&＃xff0c;并将其执行&＃xff0c;这就可能完全改变最初预计的执行过程&＃xff0c;产生恶意效果。

下面是几种主要的注入式攻击途径&＃xff0c;原则上提供动态执行能力的语言特性&＃xff0c;都需要地方发生注入攻击的可能。

1.    SQL注入攻击。一个典型的场景就是Web系统的用户登录功能&＃xff0c;根据用户输入的用户名和密码&＃xff0c;我们需要去后端数据库核实信息。

假设应用逻辑是&＃xff0c;后端程序利用界面输入动态生成类似下面的SQL&＃xff0c;然后让JDBC执行。

select * from use_info where username&＃61;"input_usr_name" and password&＃61;"input_pwd".

但是&＃xff0c;如果我输入的input_pwd 是类似下面的文本

" or ""&＃61;"

那么拼接出的SQL字符串就变成了下面的条件&＃xff0c;or的存在导致输入什么名字都是符合条件的。

select * from use_info where username&＃61;"input_usr_name" and password&＃61;"" or ""&＃61;"".

它是利用了期望输入和可能输入之间的偏差。类似场景可以利用注入的不同SQL语句&＃xff0c;进行各种不同目的的攻击&＃xff0c;甚至还可以加上";delete xxx"之类语句&＃xff0c;如果数据库权限控制不合理&＃xff0c;攻击效果就可能是灾难性的。

2.    操作系统命令注入。

Java语言提供了类似Runtime.exec(...)的API&＃xff0c;可以用来执行特定命令&＃xff0c;假设我们构建了一个应用&＃xff0c;以输入文本做为参数&＃xff0c;执行下面的命令

ls -la input_file_name

但是用户如果输入“input_file_name;rm -rf/*” ,这就有可能出现问题了。Java标准类库本身进行了非常多的改进&＃xff0c;所以类似这种编程错误&＃xff0c;未必可以真的完成攻击&＃xff0c;但其反应的一类场景是真实存在的。

3.    XML注入攻击

Java核心类库提供了全面的XML处理、转换等各种API&＃xff0c;而XML自身是可以包含动态内容的&＃xff0c;例如XPATH,如果使用不当&＃xff0c;可能导致访问恶意内容。

还有类似LDAP等允许动态内容的协议&＃xff0c;都是可能利用特定命令&＃xff0c;构造注入式攻击的&＃xff0c;包括XSS(Cross-site Scripting)攻击&＃xff0c;虽然并不和Java直接相关&＃xff0c;但也可能在JSP等动态页面中发生。

知识扩展

1.    Java应用安全&＃xff0c;主要涉及哪些安全机制。

1)    运行时安全机制。

可以简单认为就是限制Java运行时的行为&＃xff0c;不要做越权或者不靠谱的事情

----类加载过程中进行字节码验证&＃xff0c;以防止不合规的代码影响JVM运行或者载入其他恶意代码

----类加载器本身也可以对代码之间进行隔离&＃xff0c;例如&＃xff0c;应用无法获取类加载器对象实例&＃xff0c;不同的类加载器也可以起到容器的作用&＃xff0c;隔离模块之间不必要的可见性。

----利用SecurityManager机制和相关的组件&＃xff0c;限制代码的运行时行为能力&＃xff0c;其中&＃xff0c;可以定制policy文件和各种粒度的权限定义&＃xff0c;限制代码的作用域和权限&＃xff0c;例如对文件系统的操作权限&＃xff0c;监听某个网络端口的权限等。Java的安全模型是以代码为中心&＃xff0c;贯穿了从类加载到应用程序运行时权限检查等全过程。

----Java的GC等资源回收管理机制&＃xff0c;都可以看作是运行时安全的一部分&＃xff0c;如果相应机制失效&＃xff0c;就会导致JVM出现OOM等错误&＃xff0c;可看作是另类的拒绝服务。

2)    Java提供的安全框架API&＃xff0c;这是构建安全通信等应用的基础

----加密、解密API。

----授权、鉴权API。

----安全通信相关的类库&＃xff0c;比如基本HTTPS通信协议相关标准实现&＃xff0c;或者复数的类似证书撤销状态判断等协议实现。这一部分API内部实现是和厂商相关的&＃xff0c;不同的JDK厂商往往会定制自己的加密算法实现。

3)    JDK集成的各种安全工具

----keytool,这是个强大的工具&＃xff0c;可以管理安全场景中不可或缺的秘钥、证书等&＃xff0c;并且可以管理Java程序使用的keystore文件。

----jarsigner,用于对jar文件进行签名或者验证。

----在应用实践中&＃xff0c;如果对安全要求非常高&＃xff0c;建议打开SecurityManager&＃xff0c;-Djava.security.manager,就会导致10%~15%的性能下降&＃xff0c;在JDK9以后&＃xff0c;这个开销有所改善。

2.    安全漏洞

1)    按照传统的定义&＃xff0c;任何可以绕过系统安全策略限制的程序瑕疵&＃xff0c;都可以算作安全漏洞。

2)    但是要达到攻击的目的&＃xff0c;未必都需要绕过权限限制。比如利用哈希碰撞发起拒绝服务攻击&＃xff0c;这种攻击方式无关于权限&＃xff0c;可以看作是程序实现的瑕疵&＃xff0c;给了攻击者以低成本进攻的机会。

3.    对SQL注入式攻击的解决办法

----在数据输入阶段&＃xff0c;填补期望输入和可能输入之间的鸿沟。可以进行输入校验&＃xff0c;限定什么类型的输入是合法的&＃xff0c;不允许输入标点符号等特殊字符&＃xff0c;或者特定结构的输入

----在Java应用进行数据库访问时&＃xff0c;如果不用完全动态的SQL&＃xff0c;而是利用PreparedStatement,可以有效防范SQL注入。不管是SQL注入还是OS命令注入&＃xff0c;程序利用字符串拼接生成运行逻辑都是个可能的风险点。

----在数据库层面&＃xff0c;如果对查询修改等权限进行了限制&＃xff0c;就可以在一定程度上避免被注入删除等高破坏性的代码。

----尽量使用较新版本的JDK&＃xff0c;并使用推荐 的安全机制和标准。。如果有看过JDK release notes,会发现JDK会修复已知的安全漏洞&＃xff0c;并且会对安全机制进行增强