面试题：Java中Java I/O与NIO在文件读取时常见的安全漏洞及防范

常见安全漏洞及防范措施

路径遍历漏洞
- 漏洞描述：攻击者可以通过构造恶意的文件路径，访问到不应该被访问的文件或目录，比如通过 ../ 等方式跳出预期的目录结构。
- 防范措施：在Java中，可以使用 File 类的 getCanonicalPath 方法，获取文件的规范路径，然后与预期的目录路径进行比较。示例代码如下：

import java.io.File;
import java.io.IOException;

public class PathTraversalPrevention {
    public static void main(String[] args) {
        String expectedDir = "/expected/directory";
        String userInputPath = "/malicious/path/../sensitive/file.txt";
        try {
            File file = new File(userInputPath);
            String canonicalPath = file.getCanonicalPath();
            if (canonicalPath.startsWith(expectedDir)) {
                // 进行文件读取操作
            } else {
                throw new SecurityException("Path traversal attempt detected");
            }
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}

文件注入漏洞
- 漏洞描述：攻击者通过注入恶意文件内容，导致程序在读取文件时执行恶意代码，比如在读取配置文件时，注入可执行的脚本代码。
- 防范措施：对于读取配置文件等场景，严格验证文件内容的格式和合法性。如果是读取文本文件，可以使用正则表达式验证内容格式。示例代码如下：

import java.io.BufferedReader;
import java.io.FileReader;
import java.io.IOException;
import java.util.regex.Pattern;

public class FileInjectionPrevention {
    public static void main(String[] args) {
        String filePath = "config.txt";
        String regexPattern = "^[a-zA-Z0-9_=\\s]+$";
        try (BufferedReader br = new BufferedReader(new FileReader(filePath))) {
            String line;
            while ((line = br.readLine()) != null) {
                if (!Pattern.matches(regexPattern, line)) {
                    throw new SecurityException("Malicious content detected");
                }
                // 处理合法的文件内容
            }
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}

缓冲区溢出漏洞
- 漏洞描述：在读取文件时，如果分配的缓冲区过小，而文件内容过大，可能导致缓冲区溢出，从而覆盖相邻的内存区域，可能导致程序崩溃或被攻击者利用执行恶意代码。
- 防范措施：在使用 BufferedReader 等读取文件时，合理设置缓冲区大小。如果是使用 ByteBuffer 进行NIO读取，要注意其容量设置。示例代码（使用 BufferedReader）如下：

import java.io.BufferedReader;
import java.io.FileReader;
import java.io.IOException;

public class BufferOverflowPrevention {
    public static void main(String[] args) {
        String filePath = "largeFile.txt";
        int bufferSize = 8192; // 合理设置缓冲区大小
        try (BufferedReader br = new BufferedReader(new FileReader(filePath), bufferSize)) {
            String line;
            while ((line = br.readLine()) != null) {
                // 处理文件行
            }
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}

星途面试题库

面试题：Java中Java I/O与NIO在文件读取时常见的安全漏洞及防范

知识考点

面试题答案

常见安全漏洞及防范措施