Java服務(wù)器端編程安全必讀

概述和溢出

　　一、概述

　　編寫安全的Internet應(yīng)用并不是一件輕而易舉的事情：只要看看各個(gè)專業(yè)公告板就可以找到連續(xù)不斷的安全漏洞報(bào)告。你如何保證自己的Internet應(yīng)用不象其他人的應(yīng)用那樣滿是漏洞？你如何保證自己的名字不會出現(xiàn)在令人難堪的重大安全事故報(bào)道中？

　　如果你使用Java Servlet、JavaServer Pages（JSP）或者EJB，許多難以解決的問題都已經(jīng)事先解決。當(dāng)然，漏洞仍有可能出現(xiàn)。下面我們就來看看這些漏洞是什么，以及為什么Java程序員不必?fù)?dān)心部分C和Perl程序員必須面對的問題。

　　C程序員對安全漏洞應(yīng)該已經(jīng)很熟悉，但象OpenBSD之類的工程提供了處理此類問題的安全系統(tǒng)。Java語言處理這類問題的經(jīng)驗(yàn)要比C少20年，但另一方面，Java作為一種客戶端編程語言誕生，客戶端對安全的要求比服務(wù)器端苛刻得多。它意味著Java的發(fā)展有著一個(gè)穩(wěn)固的安全性基礎(chǔ)。

　　Java原先的定位目標(biāo)是瀏覽器。然而，瀏覽器本身所帶的Java虛擬機(jī)雖然很不錯(cuò)，但卻并不完美。Sun的《Chronology of security-related bugs and issues》總結(jié)了運(yùn)行時(shí)環(huán)境的漏洞發(fā)現(xiàn)歷史。我們知道，當(dāng)Java用作服務(wù)器端編程語言時(shí)，這些漏洞不可能被用作攻擊手段。但即使Java作為客戶端編程語言，重大安全問題的數(shù)量也從1996年的6個(gè)（其中3個(gè)是相當(dāng)嚴(yán)重的問題）降低到2000年的1個(gè)。不過，這種安全性的相對提高并不意味著Java作為服務(wù)器端編程語言已經(jīng)絕對安全，它只意味著攻擊者能夠使用的攻擊手段越來越受到限制。那么，究竟有哪些地方容易受到攻擊，其他編程語言又是如何面對類似問題的呢？

　　二、緩存溢出

　　在C程序中，緩存溢出是最常見的安全隱患。緩存溢出在用戶輸入超過已分配內(nèi)存空間（專供用戶輸入使用）時(shí)出現(xiàn)。緩存溢出可能成為導(dǎo)致應(yīng)用被覆蓋的關(guān)鍵因素。C程序很容易出現(xiàn)緩存溢出，但Java程序幾乎不可能出現(xiàn)緩存溢出。

　　從輸入流讀取輸入數(shù)據(jù)的C代碼通常如下所示：

　　char buffer[1000];

　　int len = read(buffer);

　　由于緩存的大小在讀入數(shù)據(jù)之前確定，系統(tǒng)要檢查為輸入保留的緩存是否足夠是很困難的。緩存溢出使得用戶能夠覆蓋程序數(shù)據(jù)結(jié)構(gòu)的關(guān)鍵部分，從而帶來了安全上的隱患。有經(jīng)驗(yàn)的攻擊者能夠利用這一點(diǎn)直接把代碼和數(shù)據(jù)插入到正在運(yùn)行的程序。

　　在Java中，我們一般用字符串而不是字符數(shù)組保存用戶輸入。與前面C代碼等價(jià)的Java代碼如下所示：

　　String buffer = in.readLine();

　　在這里，“緩存”的大小總是和輸入內(nèi)容的大小完全一致。由于Java字符串在創(chuàng)建之后不能改變，緩存溢出也就不可能出現(xiàn)。退一步說，即使用字符數(shù)組替代字符串作為緩存，Java也不象C那樣容易產(chǎn)生可被攻擊者利用的安全漏洞。例如，下面的Java代碼將產(chǎn)生溢出：

　　char[] bad = new char[6];

　　bad[7] = 50;這段代碼總是拋出一個(gè)java.lang.ArrayOutOfBoundsException異常，而該異常可以由程序自行捕獲：

　　try {

　　char[] bad = new char[6];

　　bad[7] = 50;

　　}

　　catch (ArrayOutOfBoundsException ex) {

　　... }

　　這種處理過程永遠(yuǎn)不會導(dǎo)致不可預(yù)料的行為。無論用什么方法溢出一個(gè)數(shù)組，我們總是得到ArrayOutOfBoundsException異常，而Java運(yùn)行時(shí)底層環(huán)境卻能夠保護(hù)自身免受任何侵害。一般而言，用Java字符串類型處理字符串時(shí)，我們無需擔(dān)心字符串的ArrayOutOfBoundsExceptions異常，因此它是一種較為理想的選擇。

　　Java編程模式從根本上改變了用戶輸入的處理方法，避免了輸入緩存溢出，從而使得Java程序員擺脫了最危險(xiǎn)的編程漏洞。