耐心看，1个Dubbo漏洞，35道必问面试题，Dubbo没什么可神秘的

Dubbo漏洞

无意中在网上看到了这样的一条新闻，说是我们360监测发现了Dubbo官方发布的危险漏洞通告，而且尴尬的是，世界上受影响最大的居然是中国，有图有真相

 

我感觉这也从侧面证明了一件事情，就是为什么面试的时候这些神奇的技术会问的那么频繁了，这一次真的是找到真相了，那我们来看一下到底是怎么回事吧

 

0x01 漏洞背景

2020年06月23日， 360CERT监测发现 Apache Dubbo 官方 发布了 Apache Dubbo 远程代码执行 的风险通告，该漏洞编号为 CVE-2020-1948，漏洞等级：高危。

Apache Dubbo 是一款高性能、轻量级的开源Java RPC框架，它提供了三大核心能力：面向接口的远程方法调用，智能容错和负载均衡，以及服务自动注册和发现。

Apache Dubbo Provider 存在 反序列化漏洞，攻击者可以通过RPC请求发送无法识别的服务名称或方法名称以及一些恶意参数有效载荷，当恶意参数被反序列化时，可以造成远程代码执行。

该漏洞的相关技术细节已公开。

对此，360CERT建议广大用户及时安装最新补丁，做好资产自查以及预防工作，以免遭受黑客攻击。

0x02 风险等级

360CERT对该漏洞的评定结果如下：

威胁等级：高危

影响面：广泛

0x03 漏洞详情

Apache Dubbo Provider 存在 反序列化漏洞，攻击者可以通过RPC请求发送无法识别的服务名称或方法名称以及一些恶意参数有效载荷，当恶意参数被反序列化时，可以造成远程代码执行。

0x04 影响版本

Dubbo 2.7.0 – 2.7.6

Dubbo 2.6.0 – 2.6.7

Dubbo 2.5.x （官方不再维护）

0x05 修复建议

通用修补建议：

建议广大用户及时升级到2.7.7或更高版本

 

---

虽然不清楚，但是可能有的朋友还不太清楚什么是Dubbo或者说只是听说过Dubbo，但是没有详细的了解过，耐心往下看，通过35道面试题，今天就给你讲清楚，Dubbo没什么神秘的

1.什么是Dubbo?

Dubbo是基于Java的高性能轻量级的RPC分布式服务框架，现已成为 Apache 基金会孵化项目。

官网：http://dubbo.apache.org/en-us/

2.为什么要使用Dubbo?

背景:

随着互联网的快速发展，Web应用程序的规模不断扩大，最后我们发现传统的垂直体系结构（整体式）已无法解决。分布式服务体系结构和流计算体系结构势在必行，迫切需要一个治理系统来确保体系结构的有序发展。

• 开源免费
• 一些核心业务被提取并作为独立的服务提供服务，逐渐形成一个稳定的服务中心，这样前端应用程序就可以更好地响应变化多端的市场需求
• 分布式框架能承受更大规模的流量
• 内部基于netty性能高

3.Dubbo提供了哪3个关键功能？

基于接口的远程调用

容错和负载均衡

自动服务注册和发现

4.你知道哪些机构在用Dubbo吗？