常见的 Java 桌面应用程序漏洞有哪些？

Question

我了解常见的 Web 漏洞，例如 SQL 注入、脚本注入、窃取 cookie 等。但是，我对桌面 Java 应用程序的安全问题了解不多。有哪些好的资源可以帮助您了解更多信息？

具体来说，我说的是在 PC 或 Mac 桌面上运行的 Java 应用程序（不是小程序或服务器）。

我可以想象 Java 应用程序的一些问题是更改注册表设置、安装 rootkit、击键记录、弄乱文件系统等。除了最后一个，我不知道该怎么做或者如果它甚至可能的话，所以我不知道它是多么容易实施，因此有潜在的危险。此外，如果我了解它是如何完成的，我就能理解如果有什么东西可以防止它发生的话。

我觉得文件系统可能会造成很多损害，包括删除文件、窃取数据、更改存储设置文件的程序的设置等。我听说 Java 有沙盒模式，但我没有确定在沙盒模式下运行程序是如何工作的，或者程序如何知道它处于沙盒模式。

有哪些很好的学习资源？

Answer 1

Java 不受 C 程序员可能面临的许多问题的影响（缓冲区溢出就是一个很好的例子）。首先，如果要在 jar 中移动代码，请确保混淆代码，因为 java 反编译很容易完成。

此外，请确保您编写的代码不能将您的应用程序（可能作为 jar 分发）作为库编译类。这会引发很多问题，例如键盘记录程序等。

接下来，这听起来可能很愚蠢，但是，它已经发生在过去，如果您要保存登录信息，请确保它不能被您的应用程序以外的任何人读取！

如果您使用应用程序连接到服务器，请通过加密数据来防范数据包嗅探器。

编辑：我完全同意开源的想法。如果可以，请开源您的代码。它会为您省去很多麻烦。

Answer 2

这是一个攻击面问题。您必须问自己：攻击者如何影响此应用程序？在 Web 应用程序中，它明确的 GET 和 POST 变量。在不使用网络的桌面应用程序中，可能存在零攻击面。如果桌面应用程序以提升的权限运行并且具有较低权限的攻击者可以影响此应用程序以获得其权限，则该桌面应用程序可能对攻击者有用。

用 Java 编写的用于删除文件的恶意应用程序不是漏洞。它只是无趣的恶意软件。 Here 是一大堆漏洞利用列表。

说实话，您为学校编写的大多数应用程序都没有安全概念。您正在编写一个链表实现或一些简单的 CLI 应用程序。