JAVA虚拟机
一 安全
沙箱安全模型
传统的安全模式中,运行一个软件前你必须信任他,而沙箱安全模型接收任何来源的代码,沙箱限制了此段代码进行可能破坏系统的任何动作
组成JAVA沙箱的基本组件如下:
- 类装载器体系结构
- class文件检验器
- 内置于JAVA虚拟机的安全特性
- 安全管理器及JAVA API
类装载器体系结构
他防止恶意代码去干涉善意的代码
- 命名空间:
在JAVA虚拟机中,在同一个命名空间的类,可以直接进行交互,而不同命名空间中的类,甚至不能察觉彼此的存在,除非提供了允许他们进行交互的机制。
双亲委派 - 双亲关系链:
启动类装载器,标准扩展类装载器,类路径装载器,网络类装载器
他们的优先级分别是启动类装载器,优先于标准扩展类装载器,优先于类路径装载器,优先于网络类装载器。
这样在使用双亲委派链的方法中启动类装载器,会在最可信的类库~核心JAVAapi,首先检查每个被装载的类型,然后,才一次到标准扩展类路径上的本地文件中检查。
举例1. 当自定义的类java.lang.HashMap被装载时,首先将请求传递给双亲类装载器,然后这个类就一直被委派到启动类装载器,此时启动类装载器可以找到这个类,它就不会在已安装的扩展中查到这个类,也不必在类路径查找这个类型,同样也不必在网上下载这个类。2. 如果要求网络类装载器装载一个名为java.lang.Virus的类时,同样会被委派到启动类装载器,此时启动类装载器找不到这个类,已安装的扩展及类路径都找不到,则去网上下载这个类
说明:由于例2,这里引入运行时包的概念
同一个包下的类可以相互访问,但前提是加载类的类加载器也要相同。例2中的Virus类是由网络类加载器加载,而同一包下的其他类是由启动类加载器加载的。则Virus类对其java.lang包下的其他类没有访问权限。
- 保护域:
类装载器必须将每一个被装载的类放置在一个保护域中,一个保护域定义了这个代码在运行时将得到怎样的权限。
class文件检验器
保证装载的class文件内容有正确的内部结构,并且这些class文件相互协调一致。
文件检验器要进行四趟独立的扫描来完成它的操作,第一趟扫描是在内为装载时进行的,为了检验文件的内部结构,保证安全的编译,第二,第三趟扫描是在连接过程中进行的class文件,确认函数类型,遵从java编程语言,包括其字节码的完整性。第四趟扫描是在进行动态链接的过程中解析符号引用时进行的,Class文件检验器确认被引用的类,字段以及方法确实存在。
- 第一趟:class文件的结构检查
检查,导入文件是否是0xCAFEBABE开头的,以及版本号等 - 第二趟:类型数据的语义检查
检查器查看每个组成部分,确认他们是否是其所属类型的实例,他们的结构是否正确。例如:方法描述符的返回类型以及参数类型,检查final类没有被子类化,而且final方法没有被覆盖。 - 第三趟:字节码验证
字节码流:字节码流代表了JAVA的方法,它是由操作码的单字节指令组成序列,每一个操作码后都跟着一个或多个操作数。
JAVA栈:栈桢其实就是一个内存片段,其中存储着局部变量和计算的中间结果(也叫该方法的操作速战) 在执行一个操作码时,除了可以使用紧随其后的操作数,还可以使用操作数栈中的数据,或者局部变量中的数据。
停机问题:由于无法每个程序都安全,但可以识别出某些一定会停机的程序。 - 第四趟:符号引用的验证
在动态链接的过程中,如果包含在一个文件中的符号引用被解析时,文件检验器将进行第四套检查。类似懒加载,他并非紧跟第三趟检查。
动态连接是一个将符号引用解析为直接引用的过程,虚拟机会记住这个引用,下一次遇到会直接引用,不会去解析。反之,第四趟扫描验证失败,虚拟机将抛出一个NoSuchMethodError - 二进制兼容
因为是动态链接的,当修改了被引用的类,导致本类在调用的时候无法找到,虚拟机就会报错。
二进制兼容规则:在一个类中,哪些可以被修改,增加和删除。而并不破坏此类与依赖她的那些事先已存在类之间的二进制兼容性。例如修改了一修改了被引用方法的名称就是破坏了二进制兼容规则。
JAVA虚拟机中的内置安全特性
虚拟机装载一个类,对它进行第一到第三趟的文件检查,这些字节码就可以被运行了。
- 类型安全的引用转换
只能使用类型安全的结构化的方法去访问内存 - 结构化的内存访问,无指针算法
在class文件中找不到任何内存地址,当创建一个新对象时,虚拟机决定将这个对象放到内存中的什么地方。
异常的结构化处理,虚拟机将抛出一个异常或错误,而不是崩溃。 - 自动垃圾收集,不必显示的释放被是分配的内存
- 数组边界检查
- 空引用检查
java安全模型的前三个组成部分:类装载器体系结构,class文件检验器以及class中内置的安全特性一起达到一个共同的目的:保持JAVA虚拟机的实例和正在运行的应用程序的内部完整性,使他们不被下载了恶意或有漏洞的代码侵犯
安全管理器和Java Api
JAVA Api在进行任何可能不安全的操作时,他都会向安全管理器请求许可,从而强制执行自定义安全策略。一般来说,如果一个受检查的动作被禁止,将会抛出一个异常。