赞
踩
SecurityManager是Java中的一个类,用于实现安全管理功能。它允许应用程序在运行时对安全策略进行动态管理,并控制哪些操作可以执行,哪些应该被拒绝。主要功能包括:
安全策略管理:SecurityManager允许定义一组安全策略,这些策略规定了在运行时哪些操作是允许的,哪些是禁止的。
权限控制:通过SecurityManager可以控制对敏感资源的访问权限,比如文件系统、网络等。
安全检查:在应用程序执行敏感操作之前,SecurityManager可以进行安全检查,以确保当前线程是否有权限执行该操作。
自定义安全策略:开发人员可以扩展SecurityManager类,实现自定义的安全策略,以满足特定应用程序的安全需求。
尽管SecurityManager提供了强大的安全管理功能,但在现代Java应用程序中,它已经不太常用了。相反,通常会使用更先进的安全解决方案,如安全框架、安全协议等来提供更全面和灵活的安全保护。
其实在了解这个SecurityManager
的同时,应该了解一下代码沙箱(sandbox)。是一种安全机制,用于在受信任的环境中执行不受信任的代码,以防止恶意行为或不良影响。它通常用于网络浏览器、虚拟机、容器等环境中,以限制代码的访问权限和影响范围。
在网络浏览器中,代码沙箱允许网页上的 JavaScript 代码在受控制的环境中运行,以防止恶意代码对用户数据或系统的损害。通过沙箱,浏览器可以限制
JavaScript 代码对浏览器 API 和用户系统的访问权限,从而保护用户隐私和系统安全。
在虚拟机和容器中,代码沙箱用于隔离不同的应用程序或服务,以防止其中一个应用程序对其他应用程序或主机系统造成损害。通过沙箱,每个应用程序或服务都被限制在自己的受控环境中运行,不能访问或影响其他应用程序或主机系统。
这里就需要我们的安全管理器了SecurityManager,定义了很多权限。我们可以自定义一个类来继承SecurityManager这个类。如下图:
![在这里插入图片描述](https://img-
blog.csdnimg.cn/direct/c744a42214d64b69b737570f64c1b1d9.png)
我们这里定义了一个DefaultSecurityManager
类。默认的安全管理器。继承SecurityManager,实现checkPermission方法来进行拦截权限的校验。
当然我们可以使用我们自定义类来编写各种权限的接口哈。
比如:我们创建一个MySecurityManager
类。继承SecurityManager方法。我们可以看看里面都可以实现什么样子的方法。有点像MyBatisPlus。里面已经给你封好方法
![在这里插入图片描述](https://img-
blog.csdnimg.cn/direct/e630cd9339414aa3bb0fc061a46631dc.png)
这里我实现了几个常用的方法
/** * 我的安全管理器 */ public class MySecurityManager extends SecurityManager { @Override public void checkPermission(Permission perm) { //默认情况下,不做任何检查 所有权限放开 // super.checkPermission(perm); } /** * 检查执行系统命令的权限。 * * @param cmd the specified system command. */ @Override public void checkExec(String cmd) { throw new SecurityException("checkExec 权限异常:" + cmd); } /** * 检查读取文件的权限。是否允许读文件 * * @param file the system-dependent filename. */ @Override public void checkRead(String file) { if (file.contains("F:\\Code\\CaDaOJ-code-sandbox\\")) { return;//放行 } throw new SecurityException("checkRead权限异常:" + file); } /** * 检查写文件的权限。 * * @param file the system-dependent filename. */ @Override public void checkWrite(String file) { throw new SecurityException("checkWrite 权限异常:" + file); } /** * 检查删除文件的权限。 * * @param file the system-dependent filename. */ @Override public void checkDelete(String file) { throw new SecurityException("checkDelete 权限异常:" + file); } /** * 检查程序是否可以连接网络 * * @param host the host name port to connect to. * @param port the protocol port to connect to. */ @Override public void checkConnect(String host, int port) { throw new SecurityException("checkConnect权限异常:" + host + ":" + port); } }
在我们需要校验的地方直接加上这句话
System.setSecurityManager(new DefaultSecurityManager())
实际情况下,不应该在主类中做限制,只需要限制子程序的权限即可。
启动子进程执行命令时,设置安全管理器,而不是在外层设置。
当然也可以把他整成一个配置文件。把它放到
resources/security
目录下,配置类编写成一个Java源文件,然后使用Java编译器将其编译成字节码文件(.class),最后将这个字节码文件作为资源打包到你的应用程序中。
注意:移除类的包名!移除类的包名!移除类的包名!
创建一个Java源文件,命名为MySecurityManager.java,包含你的配置类代码:
import java.security.Permission; public class MySecurityManager extends SecurityManager { @Override public void checkPermission(Permission perm) { // 在这里实现你的权限检查逻辑 // 这只是一个简单的示例,可以根据具体情况进行修改 if (perm.getName().equals("setSecurityManager")) { // 如果试图设置SecurityManager,则抛出SecurityException throw new SecurityException("权限不足"); } } // 其他重写的checkXXX方法根据需要进行实现 // 例如:checkRead、checkWrite等等 }
使用Java编译器(javac)编译MySecurityManager.java文件,生成字节码文件MySecurityManager.class:
javac MySecurityManager.java
在你的应用程序中,使用ClassLoader加载嵌入的MySecurityManager类:
import java.io.InputStream; public class Main{ public static void main(String[] args) { // 使用ClassLoader加载嵌入的资源文件 ClassLoader classLoader = MyApp.class.getClassLoader(); try (InputStream inputStream = classLoader.getResourceAsStream("MySecurityManager.class")) { byte[] buffer = new byte[inputStream.available()]; inputStream.read(buffer); // 使用defineClass方法加载类 Class<?> mySecurityManagerClass = ClassLoader.defineClass("MySecurityManager", buffer, 0, buffer.length); // 创建并设置自定义的SecurityManager SecurityManager sm = (SecurityManager) mySecurityManagerClass.getDeclaredConstructor().newInstance(); System.setSecurityManager(sm); // 程序的其他逻辑... } catch (Exception e) { e.printStackTrace(); } } }
这样,你就可以将配置类作为资源嵌入到你的应用程序中,并在运行时使用ClassLoader加载它,从而设置自定义的SecurityManager。请注意,这种方法可能会增加应用程序的复杂性,建议在需要时使用。
从时代发展的角度看,网络安全的知识是学不完的,而且以后要学的会更多,同学们要摆正心态,既然选择入门网络安全,就不能仅仅只是入门程度而已,能力越强机会才越多。
因为入门学习阶段知识点比较杂,所以我讲得比较笼统,大家如果有不懂的地方可以找我咨询,我保证知无不言言无不尽,需要相关资料也可以找我要,我的网盘里一大堆资料都在吃灰呢。
干货主要有:
①1000+CTF历届题库(主流和经典的应该都有了)
②CTF技术文档(最全中文版)
③项目源码(四五十个有趣且经典的练手项目及源码)
④ CTF大赛、web安全、渗透测试方面的视频(适合小白学习)
⑤ 网络安全学习路线图(告别不入流的学习)
⑥ CTF/渗透测试工具镜像文件大全
⑦ 2023密码学/隐身术/PWN技术手册大全
如果你对网络安全入门感兴趣,那么你需要的话可以点击这里
Copyright © 2003-2013 www.wpsshop.cn 版权所有,并保留所有权利。