• 靜態(tài)字段
• 縮小作用域
• 公共方法和字段
• 保護包
• equals方法
• 如果可能使對象不可改變
• 不要返回指向包含敏感數據的內部數組的引用
• 不要直接存儲用戶(hù)提供的數組
• 序列化
• 原生函數
• 清除敏感信息
靜態(tài)字段
• 避免使用非final的公共靜態(tài)變量
應盡可能地避免使用非final公共靜態(tài)變量，因為無(wú)法判斷代碼有無(wú)權限改變這些變量值。
• 一般地，應謹慎使用易變的靜態(tài)狀態(tài)，因為這可能導致設想中相互獨立的子系統之間發(fā)生不可預知的交互。
縮小作用域
作為一個(gè)慣例，盡可能縮小方法和字段的作用域。檢查包訪(fǎng)問(wèn)權限的成員能否改成私有的，保護類(lèi)型的成員可否改成包訪(fǎng)問(wèn)權限的或者私有的，等等。
公共方法/字段
避免使用公共變量，而是使用訪(fǎng)問(wèn)器方法訪(fǎng)問(wèn)這些變量。用這種方式，如果需要，可能增加集中安全控制。
對于任何公共方法，如果它們能夠訪(fǎng)問(wèn)或修改任何敏感內部狀態(tài)，務(wù)必使它們包含安全控制。
參考如下代碼段，該代碼段中不可信任代碼可能設置TimeZone的值：
| 以下是引用片段： private static TimeZone defaultZone = null; public static synchronized void setDefault(TimeZone zone) { defaultZone = zone; } |
有時(shí)需要在全局防止包被不可信任代碼訪(fǎng)問(wèn)，本節描述了一些防護技術(shù)：
• 防止包注入：如果不可信任代碼想要訪(fǎng)問(wèn)類(lèi)的包保護成員，可以嘗試在被攻擊的包內定義自己的新類(lèi)用以獲取這些成員的訪(fǎng)問(wèn)權。防止這類(lèi)攻擊的方式有兩種：
1. 通過(guò)向java.security.properties文件中加入如下文字防止包內被注入惡意類(lèi)。
...
package.definition=Package#1 [,Package#2,...,Package#n]
...
這會(huì )導致當試圖在包內定義新類(lèi)時(shí)類(lèi)裝載器的defineClass方法會(huì )拋出異常，除非賦予代碼一下權限：
...
RuntimePermission("defineClassInPackage."+package)
...
2. 另一種方式是通過(guò)將包內的類(lèi)加入到封裝的Jar文件里。
(參看http://java.sun.com/j2se/sdk/1.2/do...ons/spec.html)
通過(guò)使用這種技巧，代碼無(wú)法獲得擴展包的權限，因此也無(wú)須修改java.security.properties文件。
• 防止包訪(fǎng)問(wèn)：通過(guò)限制包訪(fǎng)問(wèn)并僅賦予特定代碼訪(fǎng)問(wèn)權限防止不可信任代碼對包成員的訪(fǎng)問(wèn)。通過(guò)向java.security.properties文件中加入如下文字可以達到這一目的：
...
package.access=Package#1 [,Package#2,...,Package#n]
...
這會(huì )導致當試圖在包內定義新類(lèi)時(shí)類(lèi)裝載器的defineClass方法會(huì )拋出異常，除非賦予代碼一下權限：
...
RuntimePermission("defineClassInPackage."+package)
...
如果可能使對象不可改變
如果可能，使對象不可改變。如果不可能，使得它們可以被克隆并返回一個(gè)副本。如果返回的對象是數組、向量或哈希表等，牢記這些對象不能被改變，調用者修改這些對象的內容可能導致安全漏洞。此外，因為不用上鎖，不可改變性能夠提高并發(fā)性。參考Clear sensitive information了解該慣例的例外情況。
不要返回指向包含敏感數據的內部數組的引用
該慣例僅僅是不可變慣例的變型，在這兒提出是因為常常在這里犯錯。即使數組中包含不可變的對象(如字符串)，也要返回一個(gè)副本這樣調用者不能修改數組中的字符串。不要傳回一個(gè)數組，而是數組的拷貝。
不要直接在用戶(hù)提供的數組里存儲
該慣例僅僅是不可變慣例的另一個(gè)變型。使用對象數組的構造器和方法，比如說(shuō)PubicKey數組，應當在將數組存儲到內部之前克隆數組，而不是直接將數組引用賦給同樣類(lèi)型的內部變量。缺少這個(gè)警惕，用戶(hù)對外部數組做得任何變動(dòng)(在使用討論中的構造器創(chuàng )建對象后)可能意外地更改對象的內部狀態(tài)，即使該對象可能是無(wú)法改變的。
序列化 當對對象序列化時(shí)，直到它被反序列化，它不在Java運行時(shí)環(huán)境的控制之下，因此也不在Java平臺提供的安全控制范圍內。 在實(shí)現Serializable時(shí)務(wù)必將以下事宜牢記在心： • transient 在包含系統資源的直接句柄和相對地址空間信息的字段前使用transient關(guān)鍵字。 如果資源，如文件句柄，不被聲明為transient，該對象在序列化狀態(tài)下可能會(huì )被修改，從而使得被反序列化后獲取對資源的不當訪(fǎng)問(wèn)。 • 特定類(lèi)的序列化/反序列化方法 為了確保反序列化對象不包含違反一些不變量集合的狀態(tài)，類(lèi)應該定義自己的反序列化方法并使用ObjectInputValidation接口驗證這些變量。 如果一個(gè)類(lèi)定義了自己的序列化方法，它就不能向任何DataInput/DataOuput方法傳遞內部數組。所有的DataInput/DataOuput方法都能被重寫(xiě)。注意默認序列化不會(huì )向DataInput/DataOuput字節數組方法暴露私有字節數組字段。 如果Serializable類(lèi)直接向DataOutput(write(byte []b))方法傳遞了一個(gè)私有數組，那么黑客可以創(chuàng )建ObjectOutputStream的子類(lèi)并覆蓋write(byte []b)方法，這樣他可以訪(fǎng)問(wèn)并修改私有數組。下面示例說(shuō)明了這個(gè)問(wèn)題。 你的類(lèi):
以下是引用片段：
public class YourClass implements Serializable {
private byte [] internalArray;
....
private synchronized void writeObject(ObjectOutputStream stream) {
...
stream.write(internalArray);
...
}
}
黑客代碼
| 以下是引用片段： public class HackerObjectOutputStream extends ObjectOutputStream{ public void write (byte [] b) { Modify b } } ... YourClass yc = new YourClass(); ... HackerObjectOutputStream hoos = new HackerObjectOutputStream(); hoos.writeObject(yc); |
• 字節流加密
保護虛擬機外的字節流的另一方式是對序列化包產(chǎn)生的流進(jìn)行加密。字節流加密防止解碼或讀取被序列化的對象的私有狀態(tài)。如果決定加密，應該管理好密鑰，密鑰的存放地點(diǎn)以及將密鑰交付給反序列化程序的方式等。
• 需要提防的其他事宜
如果不可信任代碼無(wú)法創(chuàng )建對象，務(wù)必確保不可信任代碼也不能反序列化對象。切記對對象反序列化是創(chuàng )建對象的另一途徑。
比如說(shuō)，如果一個(gè)applet創(chuàng )建了一個(gè)frame，在該frame上創(chuàng )建了警告標簽。如果該frame被另一應用程序序列化并被一個(gè)applet反序列化，務(wù)必使該frame出現時(shí)帶有同一個(gè)警告標簽。
原生方法
應從以下幾個(gè)方面檢查原生方法：
• 它們返回什么
• 它們需要什么參數
• 它們是否繞過(guò)了安全檢查
• 它們是否是公共的，私有的等
• 它們是否包含能繞過(guò)包邊界的方法調用，從而繞過(guò)包保護
清除敏感信息
當保存敏感信息時(shí)，如機密，盡量保存在如數組這樣的可變數據類(lèi)型中，而不是保存在字符串這樣的不可變對象中，這樣使得敏感信息可以盡早顯式地被清除。不要指望Java平臺的自動(dòng)垃圾回收來(lái)做這種清除，因為回收器可能不會(huì )清除這段內存，或者很久后才會(huì )回收。盡早清除信息使得來(lái)自虛擬機外部的堆檢查攻擊變得困難。
聯(lián)系客服
