搜索

[444] 2021-09-01_反序列化防御-JEP290

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2021-09-01_反序列化防御-JEP290 反 序 列 化 防 御 - J E P 2 9 0 a l u m m 0 x   a l u m m 0 x   2 0 2 1 - 0 9 - 0 1 收 录 于 话 题   # J a v a 代 码 审 计   , 2 5 个 J E P 2 9 0 介 绍 介 绍 J E P 2 9 0 主 要 描 述 了 这 么 几 个 机 制 ： （ 1 ） 提 供 一 个 限 制 反 序 列 化 类 的 机 制 ， 白 名 单 或 者 黑 名 单 （ 2 ） 限 制 反 序 列 化 的 深 度 和 复 杂 度 （ 3 ） 为 R M I 远 程 调 用 对 象 提 供 了 一 个 验 证 类 的 机 制 （ 4 ） 定 义 一 个 可 配 置 的 过 滤 机 制 ， 比 如 可 以 通 过 配 置 p r o p e r t i e s 文 件 的 形 式 来 定 义 过 滤 器 虽   然   引   入   J E P 2 9 0   之   前   ，   已   有   相   应   的   缓   解   反   序   列   化   漏   洞   的   方   案   ，   例   如   重   写 O b j e c t I n p u t S t e a m   的   r e s o l v e C l a s s ( ) 方 法 ， 但 仍 然 缺 少 处 理 此 问 题 的 官 方 规 范 ， 因 此 在   J D K 9 中 引 入 了   J E P   2 9 0 ， 使 用 反 序 列 化 过 滤 器 来 提 高 数 据 反 序 列 化 的 安 全 性 ， 并 且 它 也 反 向 移 植 到 了 老 版 本 的   J D K （ J D K   8 u 1 2 1 、   J D K   7 u 1 3 1   和   J D K   6 u 1 4 1 ） 中 。 自 定 义 过 滤 器 自 定 义 过 滤 器 通 过 实 现   O b j e c t I n p u t F i l t e r   接 口 可 以 创 建 自 定 义 过 滤 器 ， 需 重 写   c h e c k I n p u t ( F i l t e r I n f o f i l t e r I n f o ) 方 法 如 下 ，   允 许 反 序 列 化 什 么 类 ，   那 就 返 回   A L L O W E D ，   否 则 返 回   R E J E C T E D 设 置 过 滤 器 设 置 过 滤 器 在   J D K 9   中 可 以 使 用   O b j e c t I n p u t S t r e a m . s e t O b j e c t I n p u t F i l t e r ( O b j e c t I n p u t F i l t e r   f i l t e r ) 方 法 设 置 自 定 义 过 滤 器 ； 老 版 本 中 可 以 使 用   O b j e c t I n p u t F i l t e r . C o n f i g . s e t O b j e c t I n p u t F i l t e r ( o i s ，   n e w   V e h i c l e F i l t e r ( ) ) 方 法 。 注 意 ： 要 在 调 用 r e a d O b j e c t 之 前 设 置 ， 不 然 就 无 效 了

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理