网络安全最新冷门的 Java 应用程序安全沙箱机制了解一下(1)，2024年最新阿里内部网络安全笔记火爆IT圈

一、网安学习成长路线图

网安所有方向的技术点做的整理，形成各个领域的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。

二、网安视频合集

观看零基础学习视频，看视频学习是最快捷也是最有效果的方式，跟着视频中老师的思路，从基础到深入，还是很容易入门的。

三、精品网安学习书籍

当我学到一定基础，有自己的理解能力的时候，会去阅读一些前辈整理的书籍或者手写的笔记资料，这些笔记详细记载了他们对一些技术点的理解，这些理解是比较独到，可以学到不一样的思路。

四、网络安全源码合集+工具包

光学理论是没用的，要学会跟着一起敲，要动手实操，才能将自己的所学运用到实际当中去，这时候可以搞点实战案例来学习。

五、网络安全面试题

最后就是大家最关心的网络安全面试题板块

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

if (security != null)

security.checkListen(epoint.getPort());

…

}

}

似乎所有和 IO 操作有关的方法调用都需要进行安全检查。跟 IO 操作相关的权限检查似乎还可以理解，不是所有的 IO 资源用户进程都是可以随意访问的。但是连环境变量都不让随意读，而且限制的还不是所有环境变量，而是某个具体的环境变量，这安全检查是不是有点过了？

class System {

public static String getenv(String name) {

SecurityManager sm = getSecurityManager();

if (sm != null) {

sm.checkPermission(new RuntimePermission(“getenv.”+name));

}

return ProcessEnvironment.getenv(name);

}

}

这是因为 Java 的安全检查管理器和操作系统的权限检查不是一个概念，Java 编写的不只是服务端应用程序，它还可以作为客户端跑在浏览器上（Applet），它还可以以 app 的形式跑在手机上（J2ME）,针对不同的平台 JVM 会使用不同的安全策略。对于 Applet 而言，受限尤其严苛，通常都不允许 Applet 来操作本地文件。待 Java 的安全检查通过后执行具体的 IO 操作时，操作系统还会继续进行权限检查。

我们平时在本地运行 java 程序时通常都不会默认打开安全检查器，需要执行 jvm 参数才会打开

$ java -Djava.security.manager xxx

$ java -Djava.security.manager -DDjava.security.policy=“${policypath}”

因为安全限制条件可以定制，所以还需要提供具体的安全策略文件路径，默认的策略文件路径是 JAVA_HOME/jre/lib/security/java.policy，下面让我们来看看这个文件里都写了些什么

// 内置扩展库授权规则

// 表示 JAVA_HOME/jre/lib/ext/ 目录下的类库可以全权访问任意资源

// 包含 javax.swing., javax.xml., javax.crypto.* 等等

grant codeBase “file:${{java.ext.dirs}}/*” {

permission java.security.AllPermission;

};

// 其它类库授权规则

grant {

// 允许线程调用自己的 stop 方法自杀

permission java.lang.RuntimePermission “stopThread”;

// 允许程序监听 localhost 的随机可用端口，不允许随意订制端口

permission java.net.SocketPermission “localhost:0”, “listen”;

// 限制获取系统属性，下面一系列的配置都是只允许读部分内置属性

permission java.util.PropertyPermission “java.version”, “read”;

permission java.util.PropertyPermission “java.vendor”, “read”;

permission java.util.PropertyPermission “java.vendor.url”, “read”;

permission java.util.PropertyPermission “java.class.version”, “read”;

permission java.util.PropertyPermission “os.name”, “read”;

permission java.util.PropertyPermission “os.version”, “read”;

permission java.util.PropertyPermission “os.arch”, “read”;

permission java.util.PropertyPermission “file.separator”, “read”;

permission java.util.PropertyPermission “path.separator”, “read”;

permission java.util.PropertyPermission “line.separator”, “read”;

permission java.util.PropertyPermission “java.specification.version”, “read”;

permission java.util.PropertyPermission “java.specification.vendor”, “read”;

permission java.util.PropertyPermission “java.specification.name”, “read”;

permission java.util.PropertyPermission “java.vm.specification.version”, “read”;

permission java.util.PropertyPermission “java.vm.specification.vendor”, “read”;

permission java.util.PropertyPermission “java.vm.specification.name”, “read”;

permission java.util.PropertyPermission “java.vm.version”, “read”;

permission java.util.PropertyPermission “java.vm.vendor”, “read”;

permission java.util.PropertyPermission “java.vm.name”, “read”;

};

grant 如果提供了 codeBase 参数就是针对具体的类库来配置权限规则，如果没有指定 codeBase 就是针对所有其它类库配置的规则。

安全检查没有通过，那就会抛出 java.security.AccessControlException 异常。即使安全检查通过了，操作系统的权限检查仍然可能通不过，这时候又会抛出其它类型的异常。

授权规则采用白名单，依据上面的配置意味着启用默认安全策略的 JVM 将无法访问本地文件。如果需要访问本地文件，可以增加下面的规则

permission java.io.FilePermission “/etc/passwd”, “read”;

permission java.io.FilePermission “/etc/shadow”, “read,write”;

permission java.io.FilePermission “/xyz”, “read,write,delete”;

// 允许读所有文件

permission java.io.FilePermission “*”, “read”;

Permission 的配置参数正好对应了它的构造器参数

public FilePermission(String path, String actions) {

super(path);

init(getMask(actions));

}

Java 默认安全规则分为几大模块，每个模块都有各自的配置参数

其中 AllPermission 表示打开所有权限。还有一个不速之客 HibernatePermission，它并不是内置的权限模块，它是 Hibernate 框架为自己订制的，这意味着安全规则是支持自定义扩展的。扩展也很简单，可以自己编写一个 Permission 子类，实现它的 4 个抽象方法。

abstract class Permission {

// 权限名称，对于文件来说就是文件名，对于套接字来说就是套接字地址

// 它的意义是子类可定制的

private String name;

// 当前权限对象是否隐含了 other 权限

// 比如 AllPermission 的这个方法总是返回 true

public abstract boolean implies(Permission other);

// equals 和 hashcode 用于权限比较

public abstract boolean equals(Object obj);

public abstract int hashCode();

// 权限选项 read,write,xxx

public abstract String getActions();

}

class CustomPermission extends Permission {

给大家的福利

零基础入门

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：

因篇幅有限，仅展示部分资料

网络安全面试题

绿盟护网行动

还有大家最喜欢的黑客技术

网络安全源码合集+工具包

所有资料共282G，朋友们如果有需要全套《网络安全入门+黑客进阶学习资源包》，可以扫描下方二维码领取（如遇扫码问题，可以在评论区留言领取哦）~

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

png)

所有资料共282G，朋友们如果有需要全套《网络安全入门+黑客进阶学习资源包》，可以扫描下方二维码领取（如遇扫码问题，可以在评论区留言领取哦）~

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！