如果将Spring Boot应用程序打包为 war 或 ear 文件并将其部署到Java EE应用程序服务器，则可以使用应用程序服务器的内置事务管理器。
之前看了SHIRO-721这个漏洞，然后这个漏洞和SHIRO-550有些关联，在SHIRO-550的利用方式中又看到了利用ysoserial中的JRMP exploit，然后又想起了RMI、JNDI、LDAP、JMX、JMS这些词。这些东西也看到了几次，也看过对应的文章，但把他们联想在一起时这些概念又好像交叉了一样容易混淆。网上的一些资料也比较零散与混乱，所以即使以前看过，没有放在一起看的话很容易混淆。下面是对RMI、JNDI、LDAP、JRMP、JMX、JMS一些资料的整理。
我看了很多技术分析文章，都太过专业，很多非Java技术栈或者不搞安全的人只能看个一知半解，导致大家只能看个热闹，对这个漏洞的成因、原理、利用方式、影响面理解的不到位。
spring自带的数据源(DriverManagerDataSource)，DBCP数据源，C3P0数据源,JNDI数据源。
一、前言 本文仅代表作者的个人观点； 本文在书写过程中，得到了同事kylin和shuli的指导，在此表示感谢； 本文的内容仅限于技术探讨，不能作为指导生产环境的素材； 本文素材是红帽公司产品技术和手册； 本文分为系列文章，将会有多篇，初步预计将会有9篇。 一.上篇回顾 在上一篇中，我们介绍了Java的基础，并通过maven编译和运行一个Java应用。具体而言： 企业应用程序的特点是能够处理事务性工作负载、多组件集成、安全性、分布式体系结构和可伸缩性。 Java企业版（Java EE）是使用Java开发
JNDI (Java Naming and Directory Interface) 是一个java中的技术，用于提供一个访问各种资源的接口。比如通过JNDI可以在局域网上定位一台打印机，或者定位数据库服务，远程JAVA对象等。 JNDI底层支持RMI远程对象，RMI注册的服务可以直接被JNDI接口访问调用。
概述 J2ee是我们步入java学习的一个開始。它将开启这趟奇幻之旅，Java是一种简单的，跨平台的，面向对象的，分布式的。解释的。健壮的安全的。结构的中立的，可移植的。性能非常优异的多线程的，
2021年11月24日，阿里云安全团队向Apache官方报告了Apache Log4j2远程代码执行漏洞。2021年12月10日，阿里云安全团队发现 Apache Log4j 2.15.0-rc1 版本存在漏洞绕过，请及时更新至 Apache Log4j 2.15.0 正式版本。
核弹级bug Log4j，相信很多人都有所耳闻了，这两天很多读者都在问我关于这个bug的原理等一些问题，今天咱们就专门写一篇文章，一起聊一聊这个核弹级别的bug的产生原理以及怎么防止
在现代企业应用架构中，Java Naming and Directory Interface (JNDI) 是一个核心组件，它允许应用程序查找并使用分布式系统中的各种资源。然而，这一强大的功能若被恶意利用，则可能成为安全攻击的入口点，特别是当涉及到远程代码执行（RCE）时。本文将深入探讨JNDI注入攻击，特别是如何对JNDI流量数据进行解密，并通过真实案例和代码示例展示其潜在风险及防御策略。
JNDI的主要作用是作为一种服务定位机制，能够将用户抽象出来的服务名称映射到具体的服务实现对象。就好像一个电话簿，用户知道了联系人的名字（服务名称），电话簿可以帮助找到该联系人的电话号码（服务对象）。
一、前言 本文仅代表作者的个人观点； 本文的内容仅限于技术探讨，不能作为指导生产环境的素材； 本文素材是红帽公司产品技术和手册； 本文分为系列文章，将会有多篇，初步预计将会有9篇。 二、对EJB的访问方式 EJB是一个包含在应用程序服务器上运行的业务逻辑的可移植组件。 如果客户端和EJB是同一应用程序的一部分，则客户端可以在本地访问EJB，如果EJB在远程运行，则客户端可以通过远程接口访问EJB。 如果客户端和EJB是本地的，也就是说，它们在相同的JVM进程中运行，则客户端可以调用EJB中的所有公共方法。
目前的分布式架构主要由corba和JavaEE搭建，JavaEE优点是跨平台，开发成本低、周期短，不需要学习IDL语言；CORBA的优点是服务器响应速度更快。决定这些架构优缺点的，主要就是通信方式。
打包完成后，会在/target/目录生成JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar文件。
每次规模比较大的漏洞，JNDI好像都不会缺席。最近人尽皆知的Log4j2漏洞也和它有关，让人 不由得怀疑，是不是作者开的后门。
Fastjson 是一个 Java 库，可以将 Java 对象转换为 JSON 格式，当然它也可以将 JSON 字符串转换为 Java 对象。Fastjson 可以操作任何 Java 对象，即使是一些预先存在的没有源码的对象。
最近互联网技术圈最火的一件事莫过于Log4j2的漏洞了。同时也涌现出了各类分析文章，关于漏洞的版本、漏洞的原因、漏洞的修复、程序员因此加班等等。
前些天 Apache Log4j2 接连报了几个重大漏洞，好在我们的系统使用的 logback，可当我们正庆幸的时候，logback 也爆出漏洞了。今天我们一起来看一下这几个漏洞。
今天给大家介绍，XStream是一个简单易用的开源java类库，在解析XML文本时使用黑名单机制来防御反序列化漏洞，但之前的版本黑名单存在缺陷所以造成反序列化命令执行错误，下午具体来看一下复现过程吧。
162、EJB 与JAVA BEAN 的区别？【基础】 答：Java Bean 是可复用的组件，对Java Bean 并没有严格的规范，理论上讲，任何一个Java 类都可以是一个Bean。但通常情况下，由于Java Bean 是被容器所创建（如Tomcat）的，所以Java Bean 应具有一个无参的构造器，另外，通常Java Bean 还要实现Serializable 接口用于实现Bean 的持久性。Java Bean实际上相当于微软COM 模型中的本地进程内COM 组件，它是不能被跨进程访问的。Enterprise Java Bean 相当于DCOM，即分布式组件。它是基于Java 的远程方法调用（RMI）技术的，所以EJB 可以被远程访问（跨进程、跨计算机）。但EJB必须被布署在诸如Webspere、WebLogic 这样的容器中，EJB 客户从不直接访问真正的EJB 组件，而是通过其容器访问。EJB 容器是EJB 组件的代理，EJB 组件由容器所创建和管理。客户通过容器来访问真正的EJB 组件。
fastjson用于将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。fastjson.jar是阿里开发的一款专门用于Java开发的包，可以方便的实现json对象与JavaBean对象的转换，实现JavaBean对象与json字符串的转换，实现json对象与json字符串的转换。除了这个fastjson以外，还有Google开发的Gson包，其他形式的如net.sf.json包，都可以实现json的转换。方法名称不同而已，最后的实现结果都是一样的。
前言: 上一篇文章中讲了DBCP的用法以及实现原理, 这一篇再来说下C3P0和JDNI的用法. 1.1、C3P0数据源 C3P0是一个开源的JDBC连接池，它实现了数据源和JNDI绑定，支持JDBC3规范和JDBC2的标准扩展。目前使用它的开源项目有Hibernate，Spring等。C3P0数据源在项目开发中使用得比较多。 c3p0与dbcp区别 dbcp没有自动回收空闲连接的功能 c3p0有自动回收空闲连接功能 1.2、在应用程序中加入C3P0连接池 1.导入相关jar包
public interface HelloWord { public String sayHello(String name); }
答：Java Bean 是可复用的组件，对Java Bean 并没有严格的规范，理论上讲，任何一个Java 类都可以是一个Bean。但通常情况下，由于Java Bean 是被容器所创建（如Tomcat）的，所以Java Bean 应具有一个无参的构造器，另外，通常Java Bean 还要实现Serializable 接口用于实现Bean 的持久性。Java Bean实际上相当于微软COM 模型中的本地进程内COM 组件，它是不能被跨进程访问的。Enterprise Java Bean 相当于DCOM，即分布式组件。它是基于Java 的远程方法调用（RMI）技术的，所以EJB 可以被远程访问（跨进程、跨计算机）。但EJB必须被布署在诸如Webspere、WebLogic 这样的容器中，EJB 客户从不直接访问真正的EJB 组件，而是通过其容器访问。EJB 容器是EJB 组件的代理，EJB 组件由容器所创建和管理。客户通过容器来访问真正的EJB 组件。
URL 在许多方面都是我们数字生活的中心，是我们与关键服务、新闻、娱乐等的链接。因此，浏览器、应用程序和服务器如何接收 URL 请求、解析它们和获取请求的资源的任何安全漏洞都可能给用户带来重大问题并损害对 Internet 的信任。
最近两天，我相信Java圈子讨论最多的就是这个Log4J2的漏洞了，毕竟影响还是很大的
为了了解这个 CVE-2021-44228 漏洞的影响，首先需要掌握一些 Java 概念。RMI 全称为 Remote Method Invocation，是 Java 提供的一种基于序列化的远程方法调用机制，可以通过网络通讯的方式，调用远程服务器提供的函数，就像在本地使用一样方便。在遥远的上古年代，微服务和 RESTful + JSON 等调用方式还没有出现和普及时，人们普遍使用 RMI 来实现远程服务请求。
由于Log4j2组件在处理程序日志记录时存在JNDI注入缺陷，未经授权的攻击者利用该漏洞，可向目标服务器发送精心构造的恶意数据，触发Log4j2组件解析缺陷，实现目标服务器的任意代码执行，获得目标服务器权限。 https://mp.weixin.qq.com/s/15zcLEk6_x2enszhim9afA
几个月以前，趋势科技发现了APT组织Pawn Storm利用之前未经披露的Java漏洞（CVE-2015-2590）进行攻击。在那之后，我们注意到一个被用于染过Java点击播放（click-to-play）保护的独立漏洞。 第二个漏洞（CVE-2015-4902）现在已经在Oracle定期的季度更新中被修复，并将此归功于趋势科技的发现。 FreeBuf百科:Click-to-play Click-to-play要求用户在Java应用程序执行之前，在空白处单击一下。实际上，它要求用户只有在十分确定需要运行Ja
出处：https://www.zhihu.com/question/505025655/answer/2265086040
当你想使用 JNDI 查询定位各种服务时，便可考虑该模式。 由于为某个服务查找 JNDI 的代价很高，服务定位器模式（后文简称为 SLP）充分利用了缓存技术。在首次请求某服务时，服务定位器在 JNDI 中查找服务，并缓存该服务对象。当再次请求相同服务时，服务定位器会在它的缓存中查找，便可极大提高应用程序的性能。
今天早上醒来，知名的Java日志组件Apache Log4j2就刷爆了圈子。它被发现了一个 0 Day 漏洞，该Log4J2 漏洞可以让黑客通过日志记录远程执行代码（Remote Code Execution）。由于这个日志库被普遍使用，而这个漏洞又非常容易使用，所以造成的风险也非常严重，让人不得不提高防范。就连不懂代码的客户都来问系统是否存在这个问题。
前两天的 log4j 漏洞引起了安全圈的震动，虽然是二进制选手，但为了融入大家的过年氛围，还是决定打破舒适圈来研究一下 JNDI 注入漏洞。
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 举报，一经查实，本站将立刻删除。
经过一周时间的Log4j2 RCE事件的发酵，事情也变也越来越复杂和有趣，就连 Log4j 官方紧急发布了 2.15.0 版本之后没有过多久，又发声明说 2.15.0 版本也没有完全解决问题，然后进而继续发布了 2.16.0 版本。大家都以为2.16.0是最终终结版本了，没想到才过多久又爆雷，Log4j 2.17.0横空出世。
大家好，我是架构君，一个会写代码吟诗的架构师。今天说一说EJB的简单介绍和使用[通俗易懂],希望能够帮助大家进步!!!
71、简述synchronized和java.util.concurrent.locks.Lock的异同 ？ 主要相同点：Lock能完成synchronized所实现的所有功能主要不同点：Lock有比synchronized更精确的线程语义和更好的性能。synchronized会自动释放锁，而Lock一定要求程序员手工释放，并且必须在finally从句中释放。 72、EJB的角色和三个对象 一个完整的基于EJB的分布式计算结构由六个角色组成，这六个角色可以由不同的开发商提供，每个角色所作的工作必须遵循
2021 年 12 月 9 日，2021 年 11 月 24 日，阿里云安全团队向 Apache 官方报告了 Apache Log4j2 远程代码执行漏洞。详情见 【漏洞预警】Apache Log4j 远程代码执行漏洞
前段时间发生的 Log4j2 漏洞事件着实让人有点蛋疼，可以说是值得广大中国企业技术人员纪念的日子。在修复漏洞的过程中，让人看到的是：在风险面前，我们的系统就像一个裸奔的男人站在海边，被海风肆意地虐打着，毫无反抗力……
大家好，又见面了，我是你们的朋友全栈君。 EJB 学习笔记 1、ejb 基础知识 （1） 无状态会话bean 不保存客户机的会话状态 优点：使用小量的实例即可满足大量的客户。每个实例都没
1.bugku---Apache Log4j2 RCE 1.1 打开题目 image.png 注意:描述中的命令后面跟的×说明不支持这个命令，√则代表可以使用 1.2 构建一个JNDI服务 Github: https://github.com/welk1n/JNDI-Injection-Exploit 1.2.1 构建 1.cd JNDI-Injection-Exploit 2.mvn clean package -DskipTests 3.java -jar target/JNDI-Injection-E
我有一个习惯，接触到新概念、新技术出现后，就会探究他的前世今生、来龙去脉，正所谓“太阳底下没有新鲜事”，喜欢从对比中找到价值点，不如此就觉得理解不透彻，就觉得少了点什么。微服务的概念出现后，由于又有了服务这个词，大家往往和面向服务架构做对比，类似文章即便不是汗牛充栋，也可算作车载斗量。但由于SOA 架构是企业架构层面的一种方法，视角比较宏观（例如建设银行新一代系统就是采用SOA架构），再者SOA涉及的标准规范例如XML、SOAP、WSDL、UDDI、SCA/SDO等又偏重在互联互通的协议上，这种对比总觉得不
JNDI 全名 Java Naming and Directory Interface，实际上简单来说就是一个接口，应用通过该接口来访问对应的目录服务。好吧，先了解一下目录服务是啥。
Log4j2 安全漏洞（编号 CVE-2021-44228）事件已经过去一个多月了，但它造成的危害影响却非常严重，各大软件安全厂商在第一时间针对此漏洞紧急做了补丁。
H2 是一种非常流行的开源 Java SQL 数据库，它提供了一种不需要将数据存储在磁盘上的轻量级内存解决方案。这使得从网络平台的各种项目流行的数据存储解决方案，如ThingWorks。该com.h2database：H2包是前50名最受欢迎的Maven包的一部分，几乎7000工件依赖关系。
开源项目不易,功能少了推广不动(很有意思的时,这次的安全问题大多数人都不知道日志框架有这功能…),功能多了容易出bug;充分考虑扩展性的同时容易误触碰到一些严重安全问题 难呀!!!
在写完《Java中RMI、JNDI、LADP、JRMP、JMX、JMS那些事儿（上）》的时候，又看到一个包含RMI-IIOP的议题，在16年Blackhat JNDI注入议题中也提到了这个协议的利用，当时想着没太看到或听说有多少关于IIOP的漏洞（可能事实真的如此吧，在下面Weblogic RMI-IIOP部分或许能感受到)，所以那篇文章写作过程中也没去看之前那个16年议题IIOP相关部分。网上没怎么看到有关于IIOP或RMI-IIOP的分析文章，这篇文章来感受下。
周末与一些小伙伴交流的过程当中，发现一些小伙伴公司的项目中使用的Log4j版本还是2.14.0，我一听就有点震惊了：你们还在使用Log4j的2.14.0版本，这个版本存在重大漏洞啊！
相信大家最近都被 Apache 的 Log4j2 的漏洞相关的文章刷屏了，不得不说这次的这个漏洞影响范围之广，很多互联网大厂和开源软件都被影响到了，作为一个特别通用的日志框架，日常使用的场景非常多，而且很多开源软件都在使用，所以此次影响到一大批公司，堪称核弹级漏洞！
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
