java禁止代码被执行 java限制

java正则表达式怎么防止代码漏洞

javaWeb安全漏洞及处理方式

关注

转载自java禁止代码被执行：

1、SQL注入攻击

SQL注入攻击就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串java禁止代码被执行，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将(恶意)的SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入(恶意)SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。

随着B/S框架结构在系统开发中的广泛应用，恶意攻击者利用SQL命令在Web表单中输入合法的字符或查询字符串来欺骗服务器执行SQL命令。当注入攻击得逞后，Web程序将泄露大量用户隐私数据和数据库中数据结构。攻击者能够获得系统较高的访问权限，进行破坏操作。

SQL注入可以分为平台层注入和代码层注入。前者由不安全的数据库配置或数据库平台的漏洞所致;后者主要是由于程序员对输入未进行细致地过滤，从而执行java禁止代码被执行了非法的数据查询。基于此，SQL注入的产生原因通常表现在以下几方面:

1）不当的类型处理;

2）不安全的数据库配置;

3）不合理的查询集处理;

4）不当的错误处理;

5）转义字符处理不合适;

6) 多个提交处理不当。

解决方法:

数据库安全通信包括SQL注入攻击的防范、安全设置、异常信息处理三个方面。

1.服务端Filter对访问者输入的字符进行过滤检验，但是攻击者经常把危险字符潜藏在用户输入的有效字符中完 成过滤检验。

2.通过正则表达式对页面的文本框输入的数据进行限制可以减少过滤检验存在的漏洞。

3.使用prepareStatment预编译sql语句

2、XSS跨站脚本攻击

跨站脚本（Cross-site scripting，简称XSS），是一种迫使Web站点回显可执行代码的攻击技术，而这些可执行代码由攻击者提供、最终为用户浏览器加载。不同于大多数攻击（一般只涉及攻击者和受害者），XSS涉及到三方，即攻击者、客户端与网站。XSS的攻击目标是为了盗取客户端的cookie或者其他网站用于识别客户端身份的敏感信息。获取到合法用户的信息后，攻击者甚至可以假冒最终用户与网站进行交互。

XSS 属于被动式的攻击。攻击者先构造一个跨站页面，利用SCRIPT、IMG、IFRAME等各种方式使得用户浏览这个页面时，触发对被攻击站点的HTTP 请求。此时，如果被攻击者如果已经在被攻击站点登录，就会持有该站点cookie。这样该站点会认为被攻击者发起了一个HTTP请求。而实际上这个请求是在被攻击者不知情情况下发起的，由此攻击者在一定程度上达到了冒充被攻击者的目的。精心的构造这个攻击请求，可以达到冒充发文，夺取权限等多个攻击目的。在常见的攻击实例中，这个请求是通过script 来发起的，因此被称为Cross Site Script。

XSS漏洞成因是由于动态网页的Web应用对用户提交请求参数未做充分的检查过滤，允许用户在提交的数据中掺入HTML代码（最主要的是“”、“”），然后未加编码地输出到第三方用户的浏览器，这些攻击者恶意提交代码会被受害用户的浏览器解释执行。

分为三种类型java禁止代码被执行：

1）反射型（数据流向：浏览器 -后端 - 浏览器）

反射型XSS脚本攻击即如我们上面所提到的XSS跨站脚本攻击方式，该类型只是简单地将用户输入的数据直接或未经过完善的安全过滤就在浏览器中进行输出，导致输出的数据中存在可被浏览器执行的代码数据。由于此种类型的跨站代码存在于URL中，所以黑客通常需要通过诱骗或加密变形等方式，将存在恶意代码的链接发给用户，只有用户点击以后才能使得攻击成功实施。

2）存储型（数据流向是：浏览器 -后端 - 数据库 - 后端- 浏览器）

存储型XSS脚本攻击是指Web应用程序会将用户输入的数据信息保存在服务端的数据库或其他文件形式中，网页进行数据查询展示时，会从数据库中获取数据内容，并将数据内容在网页中进行输出展示，因此存储型XSS具有较强的稳定性。

存储型XSS脚本攻击最为常见的场景就是在博客或新闻发布系统中，黑客将包含有恶意代码的数据信息直接写入文章或文章评论中，所有浏览文章或评论的用户，都会在他们客户端浏览器环境中执行插入的恶意代码。

3）基于DOM（数据流向是：URL--浏览器 ）

基于DOM的XSS跨站脚本攻击是通过修改页面DOM节点数据信息而形成的XSS跨站脚本攻击。不同于反射型XSS和存储型XSS，基于DOM的XSS跨站脚本攻击往往需要针对具体的javascript DOM代码进行分析，并根据实际情况进行XSS跨站脚本攻击的利用。

解决方法：

1).输入过滤。对用户的所有输入数据进行检测，比如过滤其中的“”、“”、“/”等可能导致脚本注入的特殊字符，或者过滤“script”、“javascript”等脚本关键字，或者对输入数据的长度进行限制等等。同时，我们也要考虑用户可能绕开ASCII码，使用十六进制编码来输入脚本。因此，对用户输入的十六进制编码，我们也要进行相应的过滤。只要能够严格检测每一处交互点，保证对所有用户可能的输入都进行检测和XSS过滤，就能够有效地阻止XSS攻击。

2).输出编码。通过前面对XSS攻击的分析，我们可以看到，之所以会产生XSS攻击，就是因为Web应用程序将用户的输入直接嵌入到某个页面当中，作为该页面的HTML代码的一部分。因此，当Web应用程序将用户的输入数据输出到目标页面中时，只要用HtmlEncoder等工具先对这些数据进行编码，然后再输出到目标页面中。这样，如果用户输入一些HTML的脚本，也会被当成普通的文字，而不会成为目标页面HTML代码的一部分得到执行.

3、CSRF跨站请求伪造漏洞防护

CSRF是CrossSite Request Forgery的缩写，乍一看和XSS差不多的样子，但是其原理正好相反，XSS是利用合法用户获取其信息，而CSRF是伪造成合法用户发起请求。

字面理解意思就是在别的站点伪造了一个请求。专业术语来说就是在受害者访问一个网站时，其 Cookie 还没有过期的情况下，攻击者伪造一个链接地址发送受害者并欺骗让其点击，从而形成 CSRF 攻击。

根据HTTP协议，在HTTP头中有一个字段叫Referer，它记录了该HTTP请求的来源地址。在通常情况下，访问一个安全受限页面的请求必须来自于同一个网站。

解决方案：

配置FILTER拦截用户所有请求(POST/GET)，对用户请求Referer头URL进行合法性校验。

4、URL链接注入漏洞防护

链接注入是修改站点内容的行为，其方式为将外部站点的 URL 嵌入其中，或将有易受攻击的站点中的脚本 的 URL 嵌入其中。将URL 嵌入易受攻击的站点中，攻击者便能够以它为平台来启动对其他站点的攻击，以及攻击这个易受攻击的站点本身。

解决方案：

1，二次验证，进行重要敏感操作时，要求用户进行二次验证。

2，验证码，进行重要敏感操作时，加入验证码。

3，验证 HTTP 的 Referer 字段。

4，请求地址中添加 Token 并验证。

5，HTTP 头中自定义属性并验证。

5、会话COOKIE中缺少HttpOnly防护

会话cookie中缺少HttpOnly属性会导致攻击者可以通过程序(JS脚本、Applet等)获取到用户的cookie信息，造成用户cookie信息泄露，增加攻击者的跨站脚本攻击威胁。

HttpOnly是微软对cookie做的扩展，该值指定cookie是否可通过客户端脚本访问。Microsoft Internet Explorer 版本 6 Service Pack 1 和更高版本支持cookie属性HttpOnly。

如果在Cookie中没有设置HttpOnly属性为true，可能导致Cookie被窃取。窃取的Cookie可以包含标识站点用户的敏感信息。

如果在Cookie中设置HttpOnly属性为true，兼容浏览器接收到HttpOnly cookie，那么客户端通过程序(JS脚本、Applet等)将无法读取到Cookie信息，这将有助于缓解跨站点脚本威胁。

解决方案：

配置filter拦截器，将服务器端返回请求，向所有会话cookie中添加“HttpOnly”属性。

示例代码：

HttpServletResponseresponse=(HttpServletResponse)paramServletResponse;

response.setHeader("SET-COOKIE","JSESSIONID=" + sessionid + "; HttpOnly");

6、点击劫持漏洞(Clickjacking)防护

点击劫持是一种视觉上的欺骗手段，攻击者使用一个透明的、不可见的iframe，覆盖在一个网页上，然后诱使用户在该网页上进行操作，此时用户在不知情的情况下点击了透明的iframe页面。通过调整iframe页面的位置，可以诱使用户恰好点击在iframe页面的一些功能性按钮上。

解决方案：

配置FILTER拦截器，在服务器端返回请求中，使用一个HTTP头“X-Frame-Options”值为SAMEORIGIN-同源策略 ，则frame页面的地址只能为同源域名下面的页面，防止点击劫持漏洞发生。

示例代码：

HttpServletResponseresponse=(HttpServletResponse)paramServletResponse;

response.addHeader("x-frame-options","SAMEORIGIN");

7、HTTP host 头攻击漏洞

使用HTTP代理工具，可以篡改HTTP报文头部中HOST字段时，该值可被注入恶意代码。因为需要控制客户端的输入，故该漏洞较难利用。

解决方案：

配置FILTER拦截器，对请求输入HOST头信息进行信息安全性校验，防止HOST头信息被恶意篡改利用。

示例代码：

HttpServletRequest request =(HttpServletRequest)servletRequest;

//主机ip和端口 或 域名和端口

String myhosts = request.getHeader("host");

if(!StringUtils.equals(myhosts, "xx.xx.xxx.xxx:xxxx")

!StringUtils.equals(myhosts, "xx.xx.xxx.xxx:xxxx")

!StringUtils.equals(myhosts,"xx.xx.xxx.xxx:xxxx")StringUtils.equals(myhosts,"xx.xx.xxx.xxx")

!StringUtils.equals(myhosts,"xx.xx.xxx.xxx") !StringUtils.equals(myhosts,"xx.xx.xxx.xxx" ){

logger.error("======访问host非法，已拦截======");

response.sendRedirect(request.getContextPath() + "/login.jsp");

return;

}

8、越权访问漏洞防护

越权访问（Broken Access Control，简称BAC）是Web应用程序中一种常见的漏洞，分为垂直越权访问和水平越权访问。垂直越权是指不同用户级别之间的越权，如普通用户执行管理员用户的权限。水平越权是指相同级别用户之间的越权操作。

Web应用程序如果存在越权访问漏洞，可能导致以下危害：

1）导致任意用户敏感信息泄露；

2）导致任意用户信息被恶意修改或删除。

解决方案：

配置FILTER拦截器，对请求所有URL进行拦截，对于需要进行授权的URL进行权限校验，防止用户越权访问系统资源。

9.弱口令漏洞

解决方案：最好使用至少6位的数字、字母及特殊字符组合作为密码。数据库不要存储明文密码，应存储MD5加密后的密文，由于目前普通的MD5加密已经可以被破解，最好可以多重MD5加密，或者多种加密方式叠加组合。

10．JSP页面抛出的异常可能暴露程序信息。

有经验的入侵者，可以从JSP程序的异常中获取很多信息，比如程序的部分架构、程序的物理路径、SQL注入爆出来的信息等。

解决方案：自定义一个Exception，将异常信息包装起来不要抛到页面上。

11.本地缓存漏洞

合法用户“注销”后，在未关闭浏览器的情况下，点击浏览器“后退”按钮，可从本地页面缓存中读取数据，绕过了服务端filter过滤。

解决方案：配置filter对存放敏感信息的页面限制页面缓存。如：

httpResponse.setHeader("Cache-Control","no-cache");

httpResponse.setHeader("Cache-Control","no-store");

httpResponse.setDateHeader("Expires",0);

httpResponse.setHeader("Pragma","no-cache");

12.文件上传漏洞。

前台仅使用JS对文件后缀做了过滤，这只能针对普通的用户，而恶意攻击者完全可以修改表单去掉JS校验。

13.Java WEB容器默认配置漏洞。

如TOMCAT后台管理漏洞，默认用户名及密码登录后可直接上传war文件获取webshell。

解决方案：最好删除，如需要使用它来管理维护，可更改其默认路径，口令及密码。

相关问答

Q1: Java异常机制是什么

一、异常的关键字：

一般来说，异常的关键字有：try、catch、finally、throw、throws。

网上的资料对这几个关键字是这样解释的：

try： Opening exception-handling statement.

catch： Captures the exception.

finally： Runs its code before terminating the program.

throws: Lists the exceptions a method could throw.

Throw: Transfers control of the method to the exception handler.

try语句

try语句用大括号{}指定java禁止代码被执行了一段代码，该段代码可能会抛弃一个或多个例外。

catch语句

catch语句的参数类似于方法的声明，包括一个例外类型和一个例外对象。例外类型必须为Throwable类的子类，它指明java禁止代码被执行了catch语句所处理的例外类型，例外对象则由运行时系统在try所指定的代码块中生成并被捕获，大括号中包含对象的处理，其中可以调用对象的方法。

catch语句可以有多个，分别处理不同类的例外。Java运行时系统从上到下分别对每个catch语句处理的例外类型进行检测，直到找到类型相匹配的catch语句为止。这里，类型匹配指catch所处理的例外类型与生成的例外对象的类型完全一致或者是它的父类，因此，catch语句的排列顺序应该是从特殊到一般。也可以用一个catch语句处理多个例外类型，这时它的例外类型参数应该是这多个例外类型的父类，程序设计中要根据具体的情况来选择catch语句的例外处理类型。

finally语句

try所限定的代码中，当抛弃一个例外时，其后的代码不会被执行。通过finally语句可以指定一块代码。无论try所指定的程序块中抛弃或不抛弃例外，也无论catch语句的例外类型是否与所抛弃的例外的类型一致，finally所指定的代码都要被执行，它提供了统一的出口。通常在finally语句中可以进行资源的清除工作。如关闭打开的文件等。

throws语句

throws总是出现在一个函数头中，用来标明该成员函数可能抛出的各种异常。对大多数Exception子类来说，Java 编译器会强迫java禁止代码被执行你声明在一个成员函数中抛出的异常的类型。如果异常的类型是Error或 RuntimeException， 或它们的子类，这个规则不起作用， 因为这在程序的正常部分中是不期待出现的。 如果你想明确地抛出一个RuntimeException，你必须用throws语句来声明它的类型

throw语句

throw总是出现在函数体中，用来抛出一个异常。程序会在throw语句后立即终止，它后面的语句执行不到，然后在包含它的所有try块中（可能在上层调用函数中）从里向外寻找含有与其匹配的catch子句的try块。

其实，我个人觉得，简单的来说：throws与throw从拼写上只相差一个s，但是功能、作用上有很大的区别。throws用于在方法和类处声明可能抛出的所有异常信息。throw而throw就是单个语句抛出异常，是指抛出的一个具体的异常类型，使用在方法（类）的内部。

如：

………………………………………………………………………………………………………

public class showUI throws Exception(){

public void tbstudy throws Exception(){

****;//

try{

/* 这里是要处理的异常 */

}

Catch(Exception of){

System.out.println(of);//打印出异常

}

}

｝

………………………………………………………………………………………………………

throws通常不用显示的捕获异常，可由系统自动将所有捕获的异常信息抛给上级方法（即调用该方法或类的所有地方）；

throw则需要用户自己捕获相关的异常，而后再对其进行相关处理（如打印异常的地方，类型等），最后将处理后的异常信息抛出。

java禁止代码被执行他们对异常处理方式也不同.throws对异常不处理,谁调用谁处理,throws的Exception的取值范围要大于方法内部异常的最大范围,而cathch的范围又要大于throws的Exception的范围;throw 主动抛出自定义异常类对象。

二、异常继承体系

异常的继承结构

三、java处理异常方式

在java代码中如果发生异常，jvm（java虚拟机）会抛出异常对象，导致程序代码中断，这个时候jvm在做的操作就是：创建异常对象，然后抛出，比如：

1．int i= 1；

2．int j = 0；

3．int res = 0；

4．res = i/j；//除0错误

5．System.out.println(res);

这5句代码运行到第四句会中断，因为jvm抛出了异常

2.throw的作用：手动抛出异常。有时候有些错误在jvm看来不是错误，比如：

1. int age = 0;

2. age = -100;

3．System.out.println(age);

很正常的整形变量赋值，但是在我们眼中看来就不正常，谁的年龄会是负的呢？！所以我们需要自己手动引发异常，这就是throw的作用

int age = 0;

age = -100;

if(age0){

Exception e = new Exception(); //创建异常对象

throw e; //抛出异常

}

System.out.println(age);

java中的异常机制

异常机制是指当程序出现错误后，程序如何处理。具体来说，异常机制提供了程序退出的安全通道。当出现错误后，程序执行的流程发生改变，程序的控制权转移到异常处理器。

传统的处理异常的办法是，函数返回一个特殊的结果来表示出现异常（通常这个特殊结果是大家约定俗称的），调用该函数的程序负责检查并分析函数返回的结果。这样做有如下的弊端：例如函数返回-1代表出现异常，但是如果函数确实要返回-1这个正确的值时就会出现混淆；可读性降低，将程序代码与处理异常的代码混叠在一起；由调用函数的程序来分析错误，这就要求客户程序员对库函数有很深的了解。

在使用File类的方法时，如正在将U盘里面的照片复制到电脑里时，有人将U盘拔掉了。这时我们的复制程序就会出错，即抛出异常。当出现程序无法控制的外部环境问题（用户提供的文件不存在或者创建文件时已有同名文件存在，文件内容损坏，网络不可用...）时，JAVA就会用异常对象来描述。

异常情况通常有三大类：

(1)检查性异常:java.lang.Exception

(2)运行期异常:java.lang.RuntimeException

(3)错误:java.lang.Error

它们都是java.lang.Throwable类的子孙类。如右图：

Throwable 类是 Java 语言中所有错误和异常类的父类，对于具体的异常，不应该使用Throwable类，而应该使用其java禁止代码被执行他三者之一。

检查性异常------程序正确，但因为外在的环境条件不满足引发。例如：用户错误及I/O问题----程序试图打开一个并不存在的远程Socket端口。这不是程序本身的逻辑错误，而很可能是远程机器名字错误(用户拼写错误)。对商用软件系统，程序开发者必须考虑并处理这个问题。JAVA编译器强制要求处理这类异常，如果不捕获这类异常，程序将不能被编译。

运行期异常------这意味着程序存在bug，如数组越界，0被除，入参不满足规范.....这类异常需要更改程序来避免，JAVA编译器强制要求处理这类异常。用来表示设计或实现方面的问题，如数组越界等。因为设计和实现正确的程序不会引发这类异常，所以常常不处理它。发生这类异常时，运行时环境会输出一条信息，提示用户修正错误。

错误------一般很少见，也很难通过程序解决。它可能源于程序的bug，但一般更可能源于环境问题，如内存耗尽。错误在程序中无须处理，而有运行环境处理。Error表示很难恢复的错误，如内存越界。一般不期望用户程序来处理，即使程序员有能力处理这种错误，也还是交给系统处理为好。

Q2: java 继承类，下面代码为什么不被执行

main方法应该在public修饰的类里，因为那是主类，其他类都是辅助主类的。

Q3: java代码被跳过不执行什么原因

补充：至于不在异常块里，可能你的catch里没有匹配的异常类；

System.out.println("从数据库中读出userJSON"+j.toString());//不执行

这句里出现异常，有可能j的引用不存在，为null，你可以这样调试下：

try {

System.out.println("从数据库中读出userJSON"+j.toString());//不执行

} catch (Exception e){

System.out.println(e.getMessage);

}

Q4: 为什么用Java

Java最初是为对家用电器进行集成控制而设计的一种语言，因此它必须简单明了。Java语言的简单性主要体现在三个方面：

1、Java的风格类似于C++，因而C++程序员初次接触Java语言，就会感到很熟悉。从某种意义上讲，Java语言是C及C++语言的一个变种，因此，C++程序员可以很快地掌握Java编程技术。

2、Java摒弃了C++中容易引发程序错误的一些特性，如指针、结构、枚举以及内存管理等。

3、Java提供了丰富的类库，可以帮助我们很方便的开发Java程序。

面向对象的面向对象可以说是Java最重要的特性，所以它支持继承、重载、多态等面向对象的特性。Java语言的设计是完全面向对象的,它不支持类似C语言那样的面向过程的程序设计技术。

健壮的Java致力于检查程序在编译和运行时的错误。Java也是一种强类型的语言，其类型检查比C++还要严格。类型检查帮助我们检查出许多开发早期出现的错误。Java自己负责内存管理，提供了垃圾内存回收机制，有效的避免了C++中最头疼的内存泄漏问题。

安全的Java的安全性可从两个方面得到保证。一方 面，在Java语言里，删除了指针和释放内存等C++功能，避免了非法内存操作。另一方面，通过Java的安全体系架构来确保Java代码的安全性。当我们从网上下载Java代码在本地执行时，Java的安全架构能确保恶意的代码不能随意访问我们本地计算机的资源，例如：删除文件，访问本地网络资源等操作都是被禁止的。

解释的Java代码是解释执行的，我们使用Java编译器将Java代码编译成字节码，这是一种中间代码，然后由Java解释器解释执行。而C++程序是编译执行的，C++程序代码被编译为本地机器指令，然后

与平台无关的

Java作为一种网络语言，其源代码被编译成一种结构中立的中间文件格式。只要有Java运行系统的机器都能执行这种中间代码。Java源程序被编译成一种与机器无关的字节码格式，在Java虚拟机上运行。

多线程的Java语言的一个重要特性就是在语言级支持多线程的程序设计。多线程就好像我们做一张桌子，如果你一个人完成这张桌子—就好像单线程，那么你需要先做桌面，做完桌面后，再做4个桌子腿，如果现在有5个人来做桌子—在程序中开辟5个线程，其中1个人做桌面，另外4个人分别做4个桌子腿，那么这两种方式效率的高低，相信大家都能区分出来。

动态的Java的动态特性是其面向对象设计方法的扩展。它允许程序动态地装入运行过程中所需要的类，这是我们采用C++语言进行面向对象程序设计所无法实现的。在C++程序设计过程中，每当在类中增加一个实例变量或一个成员函数后， 引用该类的所有子类都必须重新编译，否则将导致程序崩溃。Java从以下几个方面采取措施来解决这个问题。Java编译器不是将对实例变量和成员函数的引用编译为数值引用，而是将符号引用信息在字节码中保存下来，传递给解释器，再由解释器在完成动态连接类后，将符号引用信息转换为数值偏移量。一个在存储器中生成的对象不在编译过程中决定，而是延迟到运行时由解释器确定。这样，对类中的变量和方法进行更新时就不至于影响现存的代码。 解释执行字节码时，这种符号信息的查找和转换过程仅在一个新的名字出现时才进行一次，随后代码便可以全速执行。在运行时确定引用的好处是可以使用已被更新的类，而不必担心会影响原有的代码。如果程序连接了网络中另一系统中的某一类，该类的所有者也可以自由地对该类进行更新，而不会使任何引用该类的程序崩溃。Java还简化了使用一个升级的或全新协议的方法。

关于java禁止代码被执行和java限制的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。