210327:URL存在http host的头攻击漏洞-IDEA

一. URL存在http host的头攻击漏洞

漏洞详细信息展示

上述问题出现的原因为在项目中使用了request.getServerName导致漏洞的出现

不要使用request中的serverName，也就是说host header可能会在攻击时被篡改，依赖request的方法是不可靠的，形如JSP头部中的：

String path = request.getContextPath();
String basePath = request.getScheme()+"://"+request.getServerName()+":"+request.getServerPort()+path+"/";

这样的使用方法就会被漏洞检测工具查出来，认定有头攻击漏洞。

修复方案：

1. 基于tomcat的修复

打开tomcat的conf目录中的server.xml文件，在<Host>节点做如下配置：

<Host name="localhost"  appBase="webapps"  
      unpackWARs="true" autoDeploy="true"  
      xmlValidation="false" xmlNamespaceAware="false"> 
    <Alias>10.1.8.158</Alias><!--10.1.8.158 本地局域网-->  
    <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"  
           prefix="localhost_access_log." suffix=".txt"  resolveHosts="false"  
           pattern="%a %A %b %B %h %H %l %m %p %s %S %t %u %U %v %D %T" />  
</Host>

此种方式仅支持Tomcat6.0.x以上版本的修复、网上有基于Filter的修复方式，试了几个都没起用。

漏洞验证参考文章

二. IDEA EasyCode(代码神器)

Easycode是idea的一个插件，可以直接对数据的表生成entity,controller,service,dao,mapper,无需任何编码，简单而强大。

1. 安装(EasyCode)

2. 建立数据库

-- ----------------------------
-- Table structure for user
-- ----------------------------
DROP TABLE IF EXISTS `user`;
CREATE TABLE `user` (
    `id` int(11) NOT NULL,
    `username` varchar(20) DEFAULTNULL,
    `sex` varchar(6) DEFAULTNULL,
    `birthday` date DEFAULTNULL,
    `address` varchar(20) DEFAULTNULL,
    `password` varchar(20) DEFAULTNULL,
    PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;
SET FOREIGN_KEY_CHECKS = 1;

3. 在IDEA配置连接数据库

在这个之前，新建一个Springboot项目，这个应该是比较简单的。

建好SpringBoot项目之后，如下图所示，找到这个Database

按照如下图所示进行操作：

然后填写数据库名字，用户名，密码。点击OK即可。这样的话，IDEA连接数据库就完事了.

4. 开始生成代码

在这个里面找到你想生成的表，然后右键，就会出现如下所示的截面。

点击1所示的位置，选择你要将生成的代码放入哪个文件夹中，选择完以后点击OK即可。

勾选你需要生成的代码，点击OK。

这样的话就完成了代码的生成了，生成的代码如下图所示：

5. pom.xml

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
    <groupId>org.projectlombok</groupId>
    <artifactId>lombok</artifactId>
    <optional>true</optional>
</dependency>

<!--热部署-->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-devtools</artifactId>
    <optional>true</optional><!-- 这个需要为 true 热部署才有效 -->
</dependency>

<!--mybatis-->
<dependency>
    <groupId>org.mybatis.spring.boot</groupId>
    <artifactId>mybatis-spring-boot-starter</artifactId>
    <version>1.3.2</version>
</dependency>

<!-- mysql -->
<dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <version>5.1.47</version>
</dependency>

<!--阿里巴巴连接池-->
<dependency>
    <groupId>com.alibaba</groupId>
    <artifactId>druid</artifactId>
    <version>1.0.9</version>
</dependency>

6. Application.yml

server:
  port: 8089
spring:
  datasource:
    url: jdbc:mysql://127.0.0.1:3306/database?useUnicode=true&characterEncoding=UTF-8
    username: root
    password: 123456
    type: com.alibaba.druid.pool.DruidDataSource
    driver-class-name: com.mysql.jdbc.Driver
mybatis:
  mapper-locations: classpath:/mapper/*Dao.xml
  typeAliasesPackage: com.vue.demo.entity

7. 启动项目

在启动项目之前，我们需要先修改两个地方。

在dao层加上@mapper注解

在启动类里面加上@MapperScan("com.vue.demo.dao")注解。

启动项目，测试一下

三. java.io.IOException: Too many open files解决方案

1. 使用ps -ef |grep java (java代表你程序，查看你程序进程) 查看你的进程ID，记录ID号，假设进程ID为12

2. 使用：lsof -p 12 | wc -l 查看当前进程id为12的 文件操作状况

   执行该命令出现文件使用情况为 1052

3. 使用命令：ulimit -a 查看每个用户允许打开的最大文件数

   发现系统默认的是open files (-n) 1024，问题就出现在这里。

4. 然后执行：ulimit -n 4096

   将open files (-n) 1024 设置成open files (-n) 4096

这样就增大了用户允许打开的最大文件数

另一种解决方案参考文章

四. Linux中切换jdk版本

目前的linux中的jdk是1.8现在想换成1.7的该如何操作呢？

1. 下载jdk1.7

可在官网下载

链接：https://pan.baidu.com/s/1ZYQQJ6uO0g4B8Ff4wNLvhQ
提取码：yxo7

2. 解压安装

首先现在/usr目录下面创建java文件夹 ，然后将jdk-7u80-linux-x64.tar.gz解压到该目录下。

mkdir /usr/java

将下载好的jdk压缩包导入到/user/java文件夹下（这里可以用CRT自带的工具进行导入）

对压缩包进行解压

tar -zxvf jdk-7u80-linux-x64.tar.gz

删除原来的jdk版本

rm -f /usr/bin/java 
rm -f /usr/bin/javac
rm -f /etc/alternatives/java
rm -f /etc/alternatives/javac

向/etc/profile中添加以下内容

export JAVA_HOME=/usr/java/jdk1.7.0_80
export JAVA_BIN=/usr/java/jdk1.7.0_80/bin
export PATH=$PATH:$JAVA_HOME/bin
export CLASSPATH=.:$JAVA_HOME/lib/dt.jar:$JAVA_HOME/lib/tools.jar

export JAVA_HOME JAVA_BIN PATH CLASSPATH

让/etc/profile文件修改后立即生效 ,可以使用如下命令（.与/间有空格）:

. /etc/profile

之后在查询jdk版本就已经更改完了，可以输入java -version命令验证

五. 在Windows安装运行Kafka

1. 安装JAVA JDK

1、下载安装包

http://www.oracle.com/technetwork/java/javase/downloads/jdk8-downloads-2133151.html

注意：根据32/64位操作系统下载对应的安装包

2、添加系统变量：JAVA_HOME=C:\Program Files (x86)\Java\jdk1.8.0_144

2. 安装Zookeeper

1. 下载安装包

   http://zookeeper.apache.org/releases.html#download

2. 解压并进入ZooKeeper目录，如：D:\Kafka\zookeeper-3.4.9\conf

3. 将“zoo_sample.cfg”重命名为“zoo.cfg”

4. 打开“zoo.cfg”找到并编辑dataDir=D:\Kafka\zookeeper-3.4.9\tmp(必须以\分割)

5. 添加系统变量：ZOOKEEPER_HOME=D:\Kafka\zookeeper-3.4.9

6. 编辑path系统变量，添加路径：%ZOOKEEPER_HOME%\bin

7. 在zoo.cfg文件中修改默认的Zookeeper端口（默认端口2181）

8. 打开新的cmd，输入“zkServer“，运行Zookeeper

9. 命令行提示如下：说明本地Zookeeper启动成功

3. 安装Kafka

1、 下载安装包

http://kafka.apache.org/downloads

注意要下载二进制版本

2、 解压并进入Kafka目录，笔者：D:\Kafka\kafka_2.12-0.11.0.0

3、 进入config目录找到文件server.properties并打开

4、 找到并编辑log.dirs=D:\Kafka\kafka_2.12-0.11.0.0\kafka-logs

5、 找到并编辑zookeeper.connect=localhost:2181

6、 Kafka会按照默认，在9092端口上运行，并连接zookeeper的默认端口：2181

7、 进入Kafka安装目录D:\Kafka\kafka_2.12-0.11.0.0，按下Shift+右键，选择“打开命令窗口”选项，打开命令行，输入：

.\bin\windows\kafka-server-start.bat .\config\server.properties

或者

bin\kafka-server-start.sh config\server.properties

注意：注意：不要关了这个窗口，启用Kafka前请确保ZooKeeper实例已经准备好并开始运行

4. 测试

4.1 创建主题

在 D:\develop_tools\kafka\kafka_2.11-2.2.0\bin\windows 目录，打开新窗口，

创建一个名称为 test 主题，命令如下：

kafka-topics.bat --create --zookeeper localhost:2181 --replication-factor 1 --partitions 1 --topic test

如图所示：

4.2 查看主题

在 D:\develop_tools\kafka\kafka_2.11-2.2.0\bin\windows 目录，打开新窗口，输入命令：

kafka-topics.bat --list --zookeeper localhost:2181

4.3 创建生产者

在 D:\develop_tools\kafka\kafka_2.11-2.2.0\bin\windows 目录，打开新窗口，输入命令：

kafka-console-producer.bat --broker-list localhost:9092 --topic test

4.4 创建消费者

在 D:\develop_tools\kafka\kafka_2.11-2.2.0\bin\windows 目录，打开新窗口，输入命令：

kafka-console-consumer.bat --bootstrap-server localhost:9092 --topic test --from-beginning

4.5 数据测试

在 生产者 窗口输入数据，在 消费者 接收到数据

参考Kafka2.2.0 在 Windows 安装（入门）

参考在Windows安装运行Kafka

六. Oracle中查询某用户下的表,视图等

select * from all_tab_comments -- 查询所有用户的表,视图等。

select * from user_tab_comments -- 查询本用户的表,视图等。

select * from all_col_comments  --查询所有用户的表的列名和注释。

select * from user_col_comments -- 查询本用户的表的列名和注释。

select * from all_tab_columns --查询所有用户的表的列名等信息。

select * from user_tab_columns --查询本用户的表的列名等信息。