Java 安全管理类SecurityManager

桃扇骨 2022-04-17 03:59 223阅读 0赞

##### 背景 #####

查看Druid源码时，发现类加载器ClassLoader.class中使用到SecurityManager ,所以查阅了下资料，进行下总结：

private void checkPackageAccess(Class<?> cls, ProtectionDomain pd) {
            final SecurityManager sm = System.getSecurityManager();
            if (sm != null) {
                if (ReflectUtil.isNonPublicProxyClass(cls)) {
                    for (Class<?> intf: cls.getInterfaces()) {
                        checkPackageAccess(intf, pd);
                    }
                    return;
                }
    
                final String name = cls.getName();
                final int i = name.lastIndexOf('.');
                if (i != -1) {
                    AccessController.doPrivileged(new PrivilegedAction<Void>() {
                        public Void run() {
                            sm.checkPackageAccess(name.substring(0, i));
                            return null;
                        }
                    }, new AccessControlContext(new ProtectionDomain[] {pd}));
                }
            }
            domains.add(pd);
        }

##### SecurityManager应用场景 #####

> 当运行未知的Java程序的时候，该程序可能有恶意代码(删除系统文件，重启系统等)，为了防止运行恶意代码对系统产生影响，需要对运行的代码的权限进行控制，这时候就要启用Java安全管理类

###### 管理配置文件 ######

###### 默认配置文件 ######

*  默认的安全管理配置文件时在$JAVA\_HOME/jre/lib/security/java.policy,即当未指定配置文件时，将会使用该配置，内容如下：

// Standard extensions get all permissions by default
    
    grant codeBase "file:${
       {java.ext.dirs}}/*" {
        permission java.security.AllPermission;
    };
    
    // default permissions granted to all domains
    
    grant { 
        // Allows any thread to stop itself using the java.lang.Thread.stop()
        // method that takes no argument.
        // Note that this permission is granted by default only to remain
        // backwards compatible.
        // It is strongly recommended that you either remove this permission
        // from this policy file or further restrict it to code sources
        // that you specify, because Thread.stop() is potentially unsafe.
        // See the API specification of java.lang.Thread.stop() for more
            // information.
        permission java.lang.RuntimePermission "stopThread";
    
        // allows anyone to listen on un-privileged ports
        permission java.net.SocketPermission "localhost:1024-", "listen";
    
        // "standard" properies that can be read by anyone
    
        permission java.util.PropertyPermission "java.version", "read";
        permission java.util.PropertyPermission "java.vendor", "read";
        permission java.util.PropertyPermission "java.vendor.url", "read";
        permission java.util.PropertyPermission "java.class.version", "read";
        permission java.util.PropertyPermission "os.name", "read";
        permission java.util.PropertyPermission "os.version", "read";
        permission java.util.PropertyPermission "os.arch", "read";
        permission java.util.PropertyPermission "file.separator", "read";
        permission java.util.PropertyPermission "path.separator", "read";
        permission java.util.PropertyPermission "line.separator", "read";
    
        permission java.util.PropertyPermission "java.specification.version", "read";
        permission java.util.PropertyPermission "java.specification.vendor", "read";
        permission java.util.PropertyPermission "java.specification.name", "read";
    
        permission java.util.PropertyPermission "java.vm.specification.version", "read";
        permission java.util.PropertyPermission "java.vm.specification.vendor", "read";
        permission java.util.PropertyPermission "java.vm.specification.name", "read";
        permission java.util.PropertyPermission "java.vm.version", "read";
        permission java.util.PropertyPermission "java.vm.vendor", "read";
        permission java.util.PropertyPermission "java.vm.name", "read";
    };

#### 启动安全管理器 ####

*  启动参数方式

启动程序的时候通过附加参数启动安全管理器：  -Djava.security.manager 
    如果要同时指定配置文件的位置，示例如下；
    -Djava.security.manager -Djava.security.policy="E:/java.policy"

##### 配置文件的简单解释 #####

###### 配置基本原则 ######

在启用安全管理器的时候，配置遵循以下基本原则：
    
    1. 没有配置的权限表示没有。
    2. 只能配置有什么权限，不能配置禁止做什么。
    3. 同一种权限可多次配置，取并集。
    4. 统一资源的多种权限可用逗号分割

###### 默认配置文件解释 ######

第一部分授权：

grant codeBase "file:${
       {java.ext.dirs}}/*" {
        permission java.security.AllPermission;
    };

授权基于路径在"file:$\{ \{java.ext.dirs\}\}/\*"的class和jar包，所有权限。

第二部分授权：

grant { 
        permission java.lang.RuntimePermission "stopThread";
        ……   
    }

这是细粒度的授权，对某些资源的操作进行授权。具体不再解释，可以查看javadoc。如RuntimePermission的可授权操作经查看javadoc如下：

<table> 
 <thead> 
  <tr> 
   <th>权限目标名称</th> 
   <th>权限所允许的操作</th> 
   <th>允许此权限所带来的风险</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>createClassLoader</td> 
   <td>创建类加载器</td> 
   <td>授予该权限极其危险。能够实例化自己的类加载器的恶意应用程序可能会在系统中装载自己的恶意类。这些新加载的类可能被类加载器置于任意保护域中，从而自动将该域的权限授予这些类。</td> 
  </tr> 
  <tr> 
   <td>getClassLoader</td> 
   <td>类加载器的获取（即调用类的类加载器）</td> 
   <td>这将授予攻击者得到具体类的加载器的权限。这很危险，由于攻击者能够访问类的类加载器，所以攻击者能够加载其他可用于该类加载器的类。通常攻击者不具备这些类的访问权限。</td> 
  </tr> 
  <tr> 
   <td>setContextClassLoader</td> 
   <td>线程使用的上下文类加载器的设置</td> 
   <td>在需要查找可能不存在于系统类加载器中的资源时，系统代码和扩展部分会使用上下文类加载器。授予 setContextClassLoader 权限将允许代码改变特定线程（包括系统线程）使用的上下文类加载器。</td> 
  </tr> 
  <tr> 
   <td>enableContextClassLoaderOverride</td> 
   <td>线程上下文类加载器方法的子类实现</td> 
   <td>在需要查找可能不存在于系统类加载器中的资源时，系统代码和扩展部分会使用上下文类加载器。授予 enableContextClassLoaderOverride 权限将允许线程的子类重写某些方法，这些方法用于得到或设置特定线程的上下文类加载器。</td> 
  </tr> 
  <tr> 
   <td>setSecurityManager</td> 
   <td>设置安全管理器（可能会替换现有的）</td> 
   <td>安全管理器是允许应用程序实现安全策略的类。授予 setSecurityManager 权限将通过安装一个不同的、可能限制更少的安全管理器，来允许代码改变所用的安全管理器，因此可跳过原有安全管理器所强制执行的某些检查。</td> 
  </tr> 
  <tr> 
   <td>createSecurityManager</td> 
   <td>创建新的安全管理器</td> 
   <td>授予代码对受保护的、敏感方法的访问权，可能会泄露有关其他类或执行堆栈的信息。</td> 
  </tr> 
  <tr> 
   <td>getenv.{variable name}</td> 
   <td>读取指定环境变量的值</td> 
   <td>此权限允许代码读取特定环境变量的值或确定它是否存在。如果该变量含有机密数据，则这项授权是很危险的。</td> 
  </tr> 
  <tr> 
   <td>exitVM.{exit status}</td> 
   <td>暂停带有指定退出状态的 Java 虚拟机</td> 
   <td>此权限允许攻击者通过自动强制暂停虚拟机来发起一次拒绝服务攻击。注意：自动为那些从应用程序类路径加载的全部代码授予 “exitVM.<em>" 权限，从而使这些应用程序能够自行中止。此外，“exitVM” 权限等于 "exitVM.</em>”。</td> 
  </tr> 
  <tr> 
   <td>shutdownHooks</td> 
   <td>虚拟机关闭钩子 (hook) 的注册与取消</td> 
   <td>此权限允许攻击者注册一个妨碍虚拟机正常关闭的恶意关闭钩子 (hook)。</td> 
  </tr> 
  <tr> 
   <td>setFactory</td> 
   <td>设置由 ServerSocket 或 Socket 使用的套接字工厂，或 URL 使用的流处理程序工厂</td> 
   <td>此权限允许代码设置套接字、服务器套接字、流处理程序或 RMI 套接字工厂的实际实现。攻击者可能设置错误的实现，从而破坏数据流。</td> 
  </tr> 
  <tr> 
   <td>setIO</td> 
   <td>System.out、<a href="http://System.in" rel="nofollow">System.in</a> 和 System.err 的设置</td> 
   <td>此权限允许改变标准系统流的值。攻击者可以改变 <a href="http://System.in" rel="nofollow">System.in</a> 来监视和窃取用户输入，或将 System.err 设置为 “null” OutputStream，从而隐藏发送到 System.err 的所有错误信息。</td> 
  </tr> 
  <tr> 
   <td>modifyThread</td> 
   <td>修改线程，例如通过调用线程的 interrupt、stop、suspend、resume、setDaemon、setPriority、setName 和 setUncaughtExceptionHandler 方法</td> 
   <td>此权限允许攻击者修改系统中任意线程的行为。</td> 
  </tr> 
  <tr> 
   <td>stopThread</td> 
   <td>通过调用线程的 stop 方法停止线程 如果系统已授予代码访问该线程的权限，则此权限允许代码停止系统中的任何线程。</td> 
   <td>此权限会造成一定的危险，因为该代码可能通过中止现有的线程来破坏系统。</td> 
  </tr> 
  <tr> 
   <td>modifyThreadGroup</td> 
   <td>修改线程组，例如通过调用 ThreadGroup 的 destroy、getParent、resume、setDaemon、setMaxPriority、stop 和 suspend 方法</td> 
   <td>此权限允许攻击者创建线程组并设置它们的运行优先级。</td> 
  </tr> 
  <tr> 
   <td>getProtectionDomain</td> 
   <td>获取类的 ProtectionDomain</td> 
   <td>此权限允许代码获得特定代码源的安全策略信息。虽然获得安全策略信息并不足以危及系统安全，但这确实会给攻击者提供了能够更好地定位攻击目标的其他信息，例如本地文件名称等。</td> 
  </tr> 
  <tr> 
   <td>getFileSystemAttributes</td> 
   <td>获取文件系统属性</td> 
   <td>此权限允许代码获得文件系统信息（如调用者可用的磁盘使用量或磁盘空间）。这存在潜在危险，因为它泄露了关于系统硬件配置的信息以及一些关于调用者写入文件特权的信息。</td> 
  </tr> 
  <tr> 
   <td>readFileDescriptor</td> 
   <td>读取文件描述符</td> 
   <td>此权限允许代码读取与文件描述符读取相关的特定文件。如果该文件包含机密数据，则此操作非常危险。</td> 
  </tr> 
  <tr> 
   <td>writeFileDescriptor</td> 
   <td>写入文件描述符</td> 
   <td>此权限允许代码写入与描述符相关的特定文件。此权限很危险，因为它可能允许恶意代码传播病毒，或者至少也会填满整个磁盘。</td> 
  </tr> 
  <tr> 
   <td>loadLibrary.{库名}</td> 
   <td>动态链接指定的库</td> 
   <td>允许 applet 具有加载本机代码库的权限是危险的，因为 Java 安全架构并未设计成可以防止恶意行为，并且也无法在本机代码的级别上防止恶意行为。</td> 
  </tr> 
  <tr> 
   <td>accessClassInPackage.{包名}</td> 
   <td>当类加载器调用 SecurityManager 的checkPackageAccess 方法时，通过类加载器的 loadClass 方法访问指定的包</td> 
   <td>此权限允许代码访问它们通常无法访问的那些包中的类。恶意代码可能利用这些类帮助它们实现破坏系统安全的企图。</td> 
  </tr> 
  <tr> 
   <td>defineClassInPackage.{包名}</td> 
   <td>当类加载器调用 SecurityManager 的 checkPackageDefinition 方法时，通过类加载器的 defineClass 方法定义指定的包中的类。</td> 
   <td>此权限允许代码在特定包中定义类。这样做很危险，因为具有此权限的恶意代码可能在受信任的包中定义恶意类，比如 java.security 或 java.lang。</td> 
  </tr> 
  <tr> 
   <td>accessDeclaredMembers</td> 
   <td>访问类的已声明成员</td> 
   <td>此权限允许代码查询类的公共、受保护、默认（包）访问和私有的字段和/或方法。尽管代码可以访问私有和受保护字段和方法名称，但它不能访问私有/受保护字段数据并且不能调用任何私有方法。此外，恶意代码可能使用该信息来更好地定位攻击目标。而且，它可以调用类中的任意公共方法和/或访问公共字段。如果代码不能用这些方法和字段将对象强制转换为类/接口，那么它通常无法调用这些方法和/或访问该字段，而这可能很危险。</td> 
  </tr> 
  <tr> 
   <td>queuePrintJob</td> 
   <td>打印作业请求的开始</td> 
   <td>这可能向打印机输出敏感信息，或者只是浪费纸张。</td> 
  </tr> 
  <tr> 
   <td>getStackTrace</td> 
   <td>获取另一个线程的堆栈追踪信息。</td> 
   <td>此权限允许获取另一个线程的堆栈追踪信息。此操作可能允许执行恶意代码监视线程并发现应用程序中的弱点。</td> 
  </tr> 
  <tr> 
   <td>setDefaultUncaughtExceptionHandler</td> 
   <td>在线程由于未捕获的异常而突然终止时，设置将要使用的默认处理程序</td> 
   <td>此权限允许攻击者注册恶意的未捕获异常处理程序，可能会妨碍线程的终止</td> 
  </tr> 
  <tr> 
   <td>Preferences</td> 
   <td>表示得到 java.util.prefs.Preferences 的访问权所需的权限。</td> 
   <td>java.util.prefs.Preferences 实现了用户或系统的根，这反过来又允许获取或更新 Preferences 持久内部存储中的操作。 如果运行此代码的用户具有足够的读/写内部存储的 OS 特权，则此权限就允许用户读/写优先级内部存储。实际的内部存储可能位于传统的文件系统目录中或注册表中，这取决于平台 OS。</td> 
  </tr> 
 </tbody> 
</table>

5.3 可配置项详解  
　　当批量配置的时候，有三种模式：

directory/ 表示directory目录下的所有.class文件，不包括.jar文件
    directory/* 表示directory目录下的所有的.class及.jar文件
    directory/- 表示directory目录下的所有的.class及.jar文件，包括子目录
    　　可以通过${}来引用系统属性，如：
    
    "file:${
       {java.ext.dirs}}/*"