小编Tec*_*oob的帖子

在我的代码中,我从一个从JMS队列接收的ObjectMessage对象调用getObject()方法.Fortify报告抱怨这个带有错误名称的getObject()方法Dynamic Code Evaluation: Unsafe Deserialization.基本上它说,我不应该在不验证对象流内容的情况下反序列化不受信任的数据.下面是代码.我应该如何以及用什么方法来摆脱这个Fortify报告错误.

if (message instanceof ObjectMessage) {
    ObjectMessage objMessage = (ObjectMessage) message;
    Object objReportMessage = objMessage.getObject();
....

以下是Fortify报告的问题以及建议.然后它将此错误指向上面的代码objMessage.getObject();

动态代码评估:不安全的反序列化(1期)

摘要 在运行时反序列化用户控制的对象流可以允许攻击者在服务器上执行任意代码,滥用应用程序逻辑或导致拒绝服务.

解释 Java序列化将对象图转换为包含对象本身的字节流以及从字节流重构它们的必要元数据.开发人员可以创建自定义代码以帮助反序列化Java对象,甚至可以用不同的对象或代理替换反序列化的对象.在将对象返回到应用程序并转换为预期类型之前,在对象重建期间进行自定义反序列化过程.当开发人员尝试强制执行期望的类型时,代码可能已经被执行.自定义反序列化例程在可序列化类中定义,这些类需要存在于运行时类路径中,并且不能由攻击者注入,因此这些攻击的可利用性取决于应用程序环境中可用的类.遗憾的是,常见的第三方类甚至JDK类可能会被滥用以耗尽JVM资源,部署恶意文件或运行任意代码.某些协议在传输层的后台使用Java序列化.RMI和JMX是这些协议的示例.

示例1:以下是可以公开公开的RMI接口示例,其中包含具有一个或多个参数的方法.远程调用这些方法时,参数将在服务器上反序列化,允许攻击者注入恶意对象图.

public interface MyService extends java.rmi.Remote {
public Object doSomething (Object arg0) throws RemoteException;
public Object doSomethingElse (Object arg0, Object arg1) throws
RemoteException;
...
}

示例2:JMX MBean还使用Java序列化来传输调用参数.在下面的示例中,MyManagedBean类方法将向客户端公开.

MBeanServer mbs = ManagementFactory.getPlatformMBeanServer();
ObjectName name = new ObjectName("com.example:type=MyManagedBean");
MyManagedBean mbean = new MyManagedBean();
mbs.registerMBean(mbean, name);

建议 如果可能,请不要在不验证对象流内容的情况下反序列化不受信任的数据.为了验证被反序列化的类,应该使用先行反序列化模式.对象流将首先包含类描述元数据,然后包含其成员字段的序列化字节.Java序列化过程允许开发人员读取类描述并决定是继续对象的反序列化还是中止它.为了做到这一点,有必要继承java.io.ObjectInputStream并提供resolveClass(ObjectStreamClass desc)方法的自定义实现,其中类验证和验证应于2016年9月29日,下午5:09版权所有2015 Hewlett Packard Enterprise Development …

我使用 mvn cobertura:cobertura 来生成这个 cobertura JUnit 测试覆盖率报告。谁能向我解释一下行号旁边的数字是什么意思？谢谢你。

在现有项目中，我想在tomcat启动时启动一个新线程。在新线程中，我将执行一些操作，例如设置计时器并每 5 分钟调用一次 Web 服务。

我不知道在哪里可以创建这个线程，以及如何在线程内执行方法。

是否有为此的 web.xml 配置？或者是其他东西？谢谢。