JEP 290 初识

全局过滤器
自定义过滤器
内置过滤器

JEP 290是 oracle提供已一套JAVA反序列化机制，其并不是一种必须被强制执行的策略，而是需要程序员或者运维人员进行开发与启用。关于该机制的优缺点借用老外的一篇文章

https://dzone.com/articles/a-first-look-into-javas-new-serialization-filterin

中文版可以参考

https://blog.csdn.net/caiqiiqi/article/details/104270776

该机制提供了三种防御策略，分别是全局过滤器、自定义过滤器以及内置过滤器

全局过滤器

该过滤器可以通过三种方法进行启用，

启动应用时通过指定参数-Djdk.serialFilter=<白名单类1>;<白名单类2>;!<黑名单类>
设置环境变量$JAVA_HOME/jre/lib/security/java.security
启动时指定策略文件-Djava.security.properties=<黑白名单配置文件名>
关于java.security文件提供了主要提供了两种策略，一种是限制类调用的深度与数量，二是通过黑白名单进行限制

自定义过滤器

程序员可在编码是使用ObjectInputStreamFilter指定反序列化黑白名单
ObjectInputFilter filesOnlyFilter = ObjectInputFilter.Config.createFilter("de.mogwailabs.Example;!*");

内置过滤器

其实第一张图里面就是一些内置过滤器，当然截图不全，如果要启动去掉注释即可

JEP 290 初识相关推荐

java 反序列化 ysoserial exploit/JRMPClient 原理剖析
目录 0 前言 1 payloads/JRMPListener 1.1 payload生成 1.2 gadget链分析 2 使用RMIRegistryExploit攻击上述开启的监听 3 exploi ...
Log4j2漏洞发展历程及解决方案
背景最近互联网技术圈最火的一件事莫过于Log4j2的漏洞了.同时也涌现出了各类分析文章,关于漏洞的版本.漏洞的原因.漏洞的修复.程序员因此加班等等. 经常看我文章的朋友都知道,面对这样热门有意思的技 ...
JDK19都出来了~是时候梳理清楚JDK的各个版本的特性了【JDK17特性讲解】
JDK各个版本特性讲解-JDK17特性一.JAVA17概述 JDK 16 刚发布半年(2021/03/16),JDK 17 又如期而至(2021/09/14),这个时间点特殊,蹭苹果发布会的热度 ...
how-I-hacked-Facebook-again-unauthenticated-RCE-on-MobileIron-MDM笔记
参考:https://devco.re/blog/2020/09/12/how-I-hacked-Facebook-again-unauthenticated-RCE-on-MobileIron-MD ...
Java平台，标准版Oracle JDK 9中的新功能
Java平台,标准版 Oracle JDK 9中的新增功能版本9 E77563-05 2017年9月 JDK 9中的新功能概述 Java Platform,Standard Edition 9是一个 ...
Java RMI反序列化/JEP290相关
RMI 远程过程调用 (Remote Procedure Call)是一种服务器-客户端模式, Java的RMI(Remote Method Invocation)是一种RPC实现. 其基本思想是程序 ...
JDK9-17新特性
文章目录环境准备 JAVA9 概述一语法层次的改变 1_钻石操作符号语法升级 2_try结构语法升级 3_下划线命名标识符的使用限制二 API层次的改变 1_接口中的私有方法 2_String ...
1.第一章 Java基础语法第一节（一）初识java
初识java 1.java的发展史 1.1.起源 1.2.演变 2.Java体系与特点 2.1java的体系 2.2java的应用 2.3java的特性 3.JVM,JDK,JRE与GC 3.1jav ...
初识 MySQL 数据库
初识 MySQL 数据库引言一.MySQL 数据库二.MySQL 服务器的结构三.数据库行和列的概念四.SQL 语句五.数据库操作 1. 显示数据库 2. 创建数据库 3. 选中数据库 4 ...
day3----编码-集合-深浅copy-文件操作-函数初识
day3----编码-集合-深浅copy-文件操作-函数初识本文档主要内容: 一编码二集合三深浅copy 四文件操作五函数初识首先,我们来看看两个字符串的比较打开cmd,进入do ...

JEP 290 初识

JEP 290 初识

全局过滤器

自定义过滤器

内置过滤器

JEP 290 初识相关推荐

最新文章

热门文章