Est l'injection de code possible en Java?

Un programme java lui-même est plutôt bien de ne pas être vulnérable à l'injection de code. Cependant, tous les code natif qui prend en charge l'application est vulnérable à tous les différents types de l'injection de code - ce qui inclut la JVM, ainsi que toutes les parties du code dans l'application ou de ses bibliothèques.

Aussi, il y a un peu plus de choses à prendre en compte:

Rien où java est utilisé comme une passerelle pour d'autres systèmes sont possibles:

Injection SQL

XSS (qui est en fin de compte rien de plus que JavaScript Injection)

Si le programme java est lui-même un interpréteur/compilateur d'une certaine sorte, il pourrait être possible d'injecter du code dans votre langage interprété/programme compilé (ceci inclut l'utilisation de votre programme comme un compilateur java...)

Et bien sûr, si vous pouvez obtenir le programme java pour écrire un fichier sur le disque qui contient le code (que ce soit en natif, java ou autre), vous pourriez être en mesure d'obtenir qu'il soit exécuté par d'autres moyens (qui peut être une vulnérabilité différente dans votre application, le système d'exploitation ou une autre application) - ce n'est pas directe, injection de code, mais assez semblable, en effet.

OriginalL'auteur gha.st

Vous pourriez écrire un web service qui a accepté un extrait de code Java, enveloppé dans une classe/déclaration de la méthode, enregistré sur le disque, a couru le compilateur sur elle et puis dynamiquement chargé et exécuté le résultat. Si l'injection de code est certainement possible.

Mais avec le typique implémentations Java, c'est peut-être pas très efficace, car il est relativement lourd processus de compilation (ça peut être pratique pour certaines applications).

L'injection de Code est très pertinent avec SQL parce que la "première approximation" de beaucoup de débutants est d'utiliser la concaténation de chaîne à insérer des variables dans un communiqué. Mais il a rarement des cultures comme une idée parmi les programmeurs Java. Donc, c'est la raison pour laquelle il n'est pas beaucoup d'un problème.

Si compilateurs Java est exposé, de poids léger, les services de la bibliothèque, alors vous auriez quelque chose de beaucoup plus près à l'équivalent de eval et, par conséquent, il pourrait commencer à devenir une préoccupation de premier plan.

OriginalL'auteur Daniel Earwicker

Il existe quelques façons dont le code Java peut être injecté dans une application telle que l'utilisation de l'API de script ou dynamique JSP comprend.

Le code ci-dessous permet à un utilisateur d'injecter de l'arbitraire de code Javascript en Java du moteur de script.

import javax.script.*;

public class Example1 {
    public static void main(String[] args) {
        try {
            ScriptEngineManager manager = new ScriptEngineManager();
            ScriptEngine engine = manager.getEngineByName("JavaScript");
            System.out.println(args[0]);
            engine.eval("print('"+ args[0] + "')");
        } catch(Exception e) {
            e.printStackTrace();
        }
    }
}

Dans ce cas, l'attaquant décide d'injecter du code qui crée un fichier sur le système de fichiers.

hallo'); var fImport = new JavaImporter(java.io.File); with(fImport) { var f = new File('new'); f.createNewFile(); } //

vérifier owasp site web pour plus d'exemples

OriginalL'auteur Badr Bellaj

Vous ne pouvez pas injecter de Java. Mais si vous n'êtes pas prudent, les gens pourraient injecter du code Javascript (c'est à dire XSS comme vous le mentionnez) ou SQL. Il y a des tas et des piles, mais pas moyen d'arriver à eux.

OriginalL'auteur rjmunro