Java: Monitorowanie pozyskiwania blokad

Question

Obecnie dużo eksperymentuję z mechanizmami bezpieczeństwa java, aby zrozumieć, jak najlepiej wykonać niezaufany kod w piaskownicy. Jedną z rzeczy, które chcesz chronić, są nieskończone pętle, dlatego właśnie chcesz uruchomić niezaufany kod we własnym wątku. Oczywiście złośliwy kod może, na przykład, wykonać ciężkie przetwarzanie, w wyniku czego powstanie zwisający wątek. Aby pozbyć się tego wątku, w zasadzie jedynym sposobem jest użycie przestarzałego mechanizmu Thread.stop() w języku Java. Głównym powodem, dla którego jest to problematyczne, jest zwolnienie wszystkich blokad utrzymywanych przez wątek, co może spowodować uszkodzenie obiektów.

Pytanie brzmi: za pomocą Java SecurityManagera i niestandardowych programów ładujących klasy mogę śledzić na przykład, jakie klasy można załadować i jakie zasoby systemowe są dostępne. Czy istnieje sposób na otrzymanie informacji (i potencjalnie zakazu) kodu związanego z pozyskiwaniem blokad (na przykład definiowanie wywołania zwrotnego, które jest informowane przed przejściem bieżącego wątku do zsynchronizowanego bloku).

Answer 1

Jeśli już używasz niestandardowego programu ładującego klasy, możesz sprawdzić kod bajtowy każdej klasy przed załadowaniem go i wykryć, jeśli zawiera instrukcję przechwytującą blokadę (monitorenter).

Należy również wziąć pod uwagę, że blokady zwolnione przy zatrzymaniu() stanowią problem tylko wtedy, gdy zostaną nabyte na obiektach udostępnionych, które inne kody mogą potencjalnie zablokować. Jeśli uda ci się uniknąć dostępu do takich przedmiotów w "złym" temacie, jesteś bezpieczny.