成人国产在线小视频_日韩寡妇人妻调教在线播放_色成人www永久在线观看_2018国产精品久久_亚洲欧美高清在线30p_亚洲少妇综合一区_黄色在线播放国产_亚洲另类技巧小说校园_国产主播xx日韩_a级毛片在线免费

資訊專欄INFORMATION COLUMN

ABAP和Java單例模式的攻防

alanoddsoff / 534人閱讀

摘要：然而我只需要將這個(gè)單例類的構(gòu)造函數(shù)通過反射設(shè)置成可以訪問，然后就能通過反射調(diào)用該構(gòu)造函數(shù)，進(jìn)而生成新的對象實(shí)例。針對這種攻擊，一種可行的防御措施是在單例類的構(gòu)造函數(shù)內(nèi)定義一個(gè)布爾變量，初始化為。當(dāng)構(gòu)造函數(shù)執(zhí)行后，該變量被置為。

ABAP 
CLASS zcl_jerry_singleton DEFINITION

PUBLIC

FINAL

CREATE PRIVATE .

PUBLIC SECTION.

INTERFACES if_serializable_object .

CLASS-METHODS class_constructor .

CLASS-METHODS get_instance

RETURNING

VALUE(ro_instance) TYPE REF TO zcl_jerry_singleton .

PROTECTED SECTION.

PRIVATE SECTION.

CLASS-DATA so_instance TYPE REF TO zcl_jerry_singleton .

DATA mv_name TYPE string .

DATA mv_initialized TYPE abap_bool .

METHODS constructor .

ENDCLASS.

CLASS ZCL_JERRY_SINGLETON IMPLEMENTATION.

* ---------------------------------------------------------------------------------------+

* | Static Public Method ZCL_JERRY_SINGLETON=>CLASS_CONSTRUCTOR

* +-------------------------------------------------------------------------------------------------+

* +--------------------------------------------------------------------------------------

METHOD class_constructor.

so_instance = NEW zcl_jerry_singleton( ).

ENDMETHOD.

* ---------------------------------------------------------------------------------------+

* | Instance Public Method ZCL_JERRY_SINGLETON->CONSTRUCTOR

* +-------------------------------------------------------------------------------------------------+

* +--------------------------------------------------------------------------------------

METHOD constructor.

mv_name = "Jerry".

IF mv_initialized = abap_false.

mv_initialized = abap_true.

ELSE.

MESSAGE "you are in trouble!" TYPE "E" DISPLAY LIKE "I".

ENDIF.

ENDMETHOD.

* ---------------------------------------------------------------------------------------+

* | Static Public Method ZCL_JERRY_SINGLETON=>GET_INSTANCE

* +-------------------------------------------------------------------------------------------------+

* | [<-()] RO_INSTANCE TYPE REF TO ZCL_JERRY_SINGLETON

* +--------------------------------------------------------------------------------------

METHOD get_instance.

ro_instance = so_instance.

ENDMETHOD.

ENDCLASS.

通過序列化/反序列化攻擊單例模式：

DATA(lo_instance) = zcl_jerry_singleton=>get_instance( ).

DATA: s TYPE string.

CALL TRANSFORMATION id SOURCE model = lo_instance RESULT XML s.

DATA: lo_instance2 TYPE REF TO zcl_jerry_singleton.

CALL TRANSFORMATION id SOURCE XML s RESULT model = lo_instance2.

繞過了單例的限制，構(gòu)造了第二個(gè)實(shí)例。

Java

除了用序列化/反序列化攻擊外，還可以用反射攻擊。

然而我只需要將這個(gè)單例類JerrySingleton的構(gòu)造函數(shù)通過反射設(shè)置成可以訪問Accessible，然后就能通過反射調(diào)用該構(gòu)造函數(shù)，進(jìn)而生成新的對象實(shí)例。這樣就破壞了單例模式。

第6行代碼會(huì)打印false。

針對這種攻擊，一種可行的防御措施是在單例類的構(gòu)造函數(shù)內(nèi)定義一個(gè)布爾變量，初始化為false。當(dāng)構(gòu)造函數(shù)執(zhí)行后，該變量被置為true。如果接下來構(gòu)造函數(shù)再次被執(zhí)行，則人為拋出異常，避免構(gòu)造函數(shù)重復(fù)執(zhí)行。

這種防御措施無法從根本上杜絕Singleton被攻擊，因?yàn)楣粽呷耘f可以通過反射來修改布爾變量flag的值，從而繞過這個(gè)檢查。

最理想的不會(huì)受到攻擊的單例模式實(shí)現(xiàn)是借助Java里枚舉類Enumeration的特性：

這種實(shí)現(xiàn)類型的單例模式的消費(fèi)代碼：

System.out.println("Name:" + JerrySingletonAnotherApproach.INSTANCE.getName());

如果攻擊者通過前面介紹的反射代碼對這種實(shí)現(xiàn)方式的單例進(jìn)行攻擊，JDK會(huì)拋出NoSuchMethodException異常：

究其原因，是因?yàn)楝F(xiàn)在我們是通過Java枚舉方式實(shí)現(xiàn)的單例，枚舉類沒有傳統(tǒng)意義上的構(gòu)造函數(shù)，因此對這種反射攻擊免疫。

要獲取更多Jerry的原創(chuàng)文章，請關(guān)注公眾號"汪子熙":

文章版權(quán)歸作者所有，未經(jīng)允許請勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請注明本文地址：http://systransis.cn/yun/71933.html

相關(guān)文章

  • Java面試通關(guān)要點(diǎn)匯總集

    摘要：本文會(huì)以引出問題為主，后面有時(shí)間的話，筆者陸續(xù)會(huì)抽些重要的知識點(diǎn)進(jìn)行詳細(xì)的剖析與解答。敬請關(guān)注服務(wù)端思維微信公眾號，獲取最新文章。 原文地址：梁桂釗的博客博客地址：http://blog.720ui.com 這里，筆者結(jié)合自己過往的面試經(jīng)驗(yàn)，整理了一些核心的知識清單，幫助讀者更好地回顧與復(fù)習(xí) Java 服務(wù)端核心技術(shù)。本文會(huì)以引出問題為主，后面有時(shí)間的話，筆者陸續(xù)會(huì)抽些重要的知識點(diǎn)進(jìn)...

    gougoujiang 評論0 收藏0

  • #私藏項(xiàng)目實(shí)操分享# 使用 JavaScript 上傳 PDF 和 Excel 等二進(jìn)制文件到 AB

    摘要：這是年的第篇文章，也是汪子熙公眾號總共第篇原創(chuàng)文章。使用通過格式發(fā)送和文件到服務(wù)器關(guān)于格式的詳細(xì)說明，參考開發(fā)社區(qū)和的文檔我在前文例子的基礎(chǔ)上稍作修改在里使用兩個(gè)類型為的標(biāo)簽，分別上傳和文件用來測試的本地文件，大小為字節(jié)。 這是 Jerry 2021 年的第 71 篇文章，也是汪子熙公眾號總共第 348 篇原創(chuàng)文章。 Jerry 之前發(fā)布過一篇文章 不使用任何框架，手寫純 Jav...

    peixn 評論0 收藏0

  • SAP OData編程指南

    摘要：目前被廣泛用于和的眾多應(yīng)用中，以及和一些正在開發(fā)的新一代云產(chǎn)品中。年月時(shí)，我和德國一位負(fù)責(zé)的同事就這個(gè)話題在半小時(shí)的電話會(huì)議里產(chǎn)生了爭執(zhí)。德國同事看了之后，同意了我的意見。和微信集成系列教程這個(gè)系列教程里，和微信的交互，使用了，使用了。 OData(Open Data Protocol)協(xié)議是一個(gè)開放的工業(yè)標(biāo)準(zhǔn)，用于定義RESTFul API的設(shè)計(jì)和使用。我的文章標(biāo)題前加上SAP的前綴...

    X1nFLY 評論0 收藏0

  • SAP OData編程指南

    摘要：目前被廣泛用于和的眾多應(yīng)用中，以及和一些正在開發(fā)的新一代云產(chǎn)品中。年月時(shí)，我和德國一位負(fù)責(zé)的同事就這個(gè)話題在半小時(shí)的電話會(huì)議里產(chǎn)生了爭執(zhí)。德國同事看了之后，同意了我的意見。和微信集成系列教程這個(gè)系列教程里，和微信的交互，使用了，使用了。 OData(Open Data Protocol)協(xié)議是一個(gè)開放的工業(yè)標(biāo)準(zhǔn)，用于定義RESTFul API的設(shè)計(jì)和使用。我的文章標(biāo)題前加上SAP的前綴...

    wanghui 評論0 收藏0

發(fā)表評論

0條評論

最新活動(dòng)
閱讀需要支付1元查看
<