让 Parse Double 漏洞无处藏身，工程师们必备神器！_double.parsedouble 存在安全问题-程序员宅基地

技术标签： OneRASP RASP

我们很多人都会在网上购物买东西。但是，我们很多人都不清楚的是，很多电商网站会存在安全漏洞，比如拒绝服务漏洞问题。拒绝服务漏洞根据影响自低像高可分为：无效、服务降低、可自恢复的服务破坏、可人工恢复的服务破坏以及不可恢复的服务破坏。

详细来说，如果攻击能力不足以导致目标完全拒绝服务，但造成了目标的服务能力降低，这种效果称之为服务降低。而当攻击能力达到一定程度时，攻击就可以使目标完全丧失服务能力，称之为服务破坏。服务破坏又可以分为可恢复的服务破坏和不可恢复的服务破坏，就好像一些攻击利用目标系统的漏洞对目标的文件系统进行破坏，导致系统的关键数据丢失，往往会导致不可恢复的服务破坏，即使系统重新提供服务，仍然无法恢复到破坏之前的服务状态。由此可见，拒绝服务漏洞是那么可怕！

拒绝服务漏洞：Parse Double

拒绝服务漏洞是在一些遗留系统中仍然存在的老错误，在 Windows 与 Linux 的 JDK1.6_23 及更早 JDK1.5_27 及更早 JRE 1.4.2_29 及更早的版本中都存在这一漏洞。对于使用 Apache Tomcat 服务器的系统，若其 JRE 比较脆弱，未经授权的用户完全可以耗尽其所有资源。

实现方式——实现 java.lang.Double.parseDouble() 及其相关方法中的漏洞会导致线程在解析 [2^(-1022) - 2^(-1075) : 2^(-1022) - 2^(-1076)] 范围内的任一数字时造成线程悬停。这个缺陷可以用来进行 DOS（拒绝服务）攻击。例如：下面的代码使用了较为脆弱的方法。

Double d = Double.parseDouble(request.getParameter("d"));

攻击者可以发送这样的请求，其参数 d 在上面的范围中，例如
“0.0222507385850720119e-00306” ，进而导致程序在处理该请求时悬停。

黑客新闻中的评论指出，BigDecimal.doubleValue 方法实际上只是将参数转化为字符串，然后调用 Double.parseDouble 方法。因此，非常不幸，上面的机制只有在我放弃一些精度调用 Math.pow(10, exponent)，而不使用 scaleByPowerOfTen 时会起作用。上面的版本，很遗憾，不起作用。

尽管这个错误已经在 JDK 1.6_24 及之后的版本得到修复，安全行业研究机构发现许多 Java 系统可能还在运行有风险的老版本。普遍的建议是升级系统或者单纯地标准化清理后的字符串，将其传入新的 java.math.BigDecimal() 方法，再将结果转化为基本 double 类型。遗憾的是，BigDecimal 的构造函数也会调用麻烦的 Double.parseDouble 代码，因此我们又回到了原点。最后，我们还可以尝试下面的代码，虽然不能说它高效，但是它通过了所有 Float 测试，不会像 Double.parseDouble 那样拒绝服务。

 public static double parseDouble(String value) 
   String normalString = normalizeDoubleString(value);
   int offset = normalString.indexOf('E');
   BigDecimal base;
   int exponent;
   if (offset == -1) {
     base = new BigDecimal(value);
     exponent = 0;
     } else {
    base = new BigDecimal(normalString.substring(0, offset));
   exponent = Integer.parseInt(normalString.charAt(offset + 1) == '+' ?
    normalString.substring(offset + 2)
    normalString.substring(offset + 1));
     }
    return base.scaleByPowerOfTen(exponent).doubleValue();
     }

这种方式虽说有一定效果，但效率并不是很高。因为国内还有不少电商网站正在使用老的 Java 版本，所以这种漏洞被攻击还时有发生。

RASP：让 Parse Double 漏洞无处藏身

根据 Gartner 的报告,超过 80% 的攻击是以应用层为目标的,而大多数破坏活动是通过应用程序进行的。他们发现,软件提供商对应用程序安全防护的投入普遍不足。Gartner 的分析师兼研究员 Joseph Feiman 提出了「实时应用自我保护 (Runtime Application Self-Protection)」的概念。

让 Parse Double 漏洞无处藏身，工程师们必备神器！

作为一种新型应用安全保护技术，RASP 将保护程序想疫苗一样注入到应用程序和应用程序融为一体，能实时检测和阻断安全攻击，使应用程序具备自我保护能力。比如说针对拒绝服务漏洞 Parse Double 来说， RASP 定制了响应的规则集和防护类，然后采用 java 字节码技术，在被保护的类被加载进虚拟机之前，根据规则对被保护的类进行修改，将防护类织入到到被保护的类中，从而保证了我们服务器的安全。

OneRASP（实时应用自我保护）是一种基于云的应用程序自我保护服务，可以为软件产品提供实时保护，使其免受漏洞所累。

本文链接：https://blog.csdn.net/OneRASP/article/details/50033711

原作者删帖不实内容删帖广告或垃圾文章投诉

智能推荐

EasyDarwin开源流媒体云平台之EasyRMS录播服务器功能设计_开源录播系统-程序员宅基地

文章浏览阅读3.6k次。需求背景EasyDarwin开发团队维护EasyDarwin开源流媒体服务器也已经很多年了，之前也陆陆续续尝试过很多种服务端录像的方案，有：在EasyDarwin中直接解析收到的RTP包，重新组包录像；也有：在EasyDarwin中新增一个RecordModule，再以RTSPClient的方式请求127.0.0.1自己的直播流录像，但这些始终都没有成气候；我们的想法是能够让整套EasyDarwin_开源录播系统

oracle Plsql 执行update或者delete时卡死问题解决办法_oracle delete update 锁表问题-程序员宅基地

文章浏览阅读1.1w次。今天碰到一个执行语句等了半天没有执行：delete table XXX where ......,但是在select 的时候没问题。后来发现是在执行select * from XXX for update 的时候没有commit，oracle将该记录锁住了。可以通过以下办法解决：先查询锁定记录 Sql代码 SELECT s.sid, s.seri_oracle delete update 锁表问题

Xcode Undefined symbols 错误_xcode undefined symbols:-程序员宅基地

文章浏览阅读3.4k次。报错信息error:Undefined symbol: typeinfo for sdk::IConfigUndefined symbol: vtable for sdk::IConfig具体信息：Undefined symbols for architecture x86_64: "typeinfo for sdk::IConfig", referenced from: typeinfo for sdk::ConfigImpl in sdk.a(config_impl.o) _xcode undefined symbols:

项目05(Mysql升级07Mysql5.7.32升级到Mysql8.0.22)_mysql8.0.26 升级32-程序员宅基地

文章浏览阅读249次。背景《承接上文,项目05(Mysql升级06Mysql5.6.51升级到Mysql5.7.32)》,写在前面需要(考虑)检查和测试的层面很多，不限于以下内容。参考文档https://dev.mysql.com/doc/refman/8.0/en/upgrade-prerequisites.htmllink推荐阅读以上链接，因为对应以下问题，有详细的建议。官方文档：不得存在以下问题：0.不得有使用过时数据类型或功能的表。不支持就地升级到MySQL 8.0，如果表包含在预5.6.4格_mysql8.0.26 升级32

高通编译8155源码环境搭建_高通8155 qnx 源码-程序员宅基地

文章浏览阅读3.7k次。一.安装基本环境工具：1.安装git工具sudo apt install wget g++ git2.检查并安装java等环境工具2.1、执行下面安装命令#!/bin/bashsudoapt-get-yinstall--upgraderarunrarsudoapt-get-yinstall--upgradepython-pippython3-pip#aliyunsudoapt-get-yinstall--upgradeopenjdk..._高通8155 qnx 源码

firebase 与谷歌_Firebase的好与不好-程序员宅基地

文章浏览阅读461次。firebase 与谷歌大多数开发人员都听说过Google的Firebase产品。这就是Google所说的“ 移动平台，可帮助您快速开发高质量的应用程序并发展业务。 ”。它基本上是大多数开发人员在构建应用程序时所需的一组工具。在本文中，我将介绍这些工具，并指出您选择使用Firebase时需要了解的所有内容。在开始之前，我需要说的是，我不会详细介绍Firebase提供的所有工具。我..._firsebase 与 google