Unsafe JNI

Java Native Interface（JNI）应用不当会导致 Java 应用程序容易受到其他语言的安全漏洞攻击。

当 Java 应用程序使用 JNI 调用以其他编程语言编写的代码时，会发生 Unsafe JNI 漏洞。
示例 1：以下 Java 代码定义了一个名为 Echo 的类。该类声明了一个本机方法，该方法会使用 C 将控制台上输入的命令回显给用户。

    class Echo {
	public native void runEcho();

	static {
		System.loadLibrary("echo");
		}

	public static void main(String[] args) {
		new Echo().runEcho();
		}
}

以下 C 语言代码定义了在 Echo 类中实现的本地方法：

#include <jni.h>
#include "Echo.h" //Example 1 中使用 javah 编译的 java 类
#include <stdio.h>

JNIEXPORT void JNICALL
Java_Echo_runEcho(JNIEnv *env, jobject obj)
{
	char buf[64];
	gets(buf);
	printf(buf);
}

因为这个例子是在 Java 中实现的，所以看上去似乎可以避免诸如 buffer overflow 之类的内存问题。虽然 Java 在内存安全方面做的很好，但是该保护机制并不适用于其他语言编写的且通过 Java 本地接口 (JNI) 访问的源代码中出现的漏洞。尽管有 Java 提供的内存保护机制，但是这个例子中的 C 语言代码仍然很容易受到 buffer overflow 的攻击，因为它在没有执行任何输入检查的情况下就使用了 gets()。

Sun Java(TM) 教程对 JNI 描述如下 [1]：

一旦有了 JNI 框架，您的本地方法就可以像 Java 代码那样利用 Java 对象。本地方法可以创建 Java 对象（包括数组和字符串），并且检查和应用这些对象，以便执行各种相关的任务。本地方法也可以检查和应用由 Java 应用程序代码创建的对象。本地方法甚至可以更新由自己创建的或传递给它的 Java 对象，且更新后的对象可以应用到 Java 应用程序中。因此，在应用程序中，无论是本地语言还是 Java 语言都能创建、更新和访问 Java 对象，并在两种语言间共享这些对象。

通过对此本机方法实现方式进行源代码审核，可以轻松检测到Example 1 中的漏洞。根据不同的 C 语言源代码和项目构建方式，这种方式可能在某些情况下不可行，但是多数情况下还是可行的。然而，这种能够在 Java 和本机方法之间共享对象的能力会进一步加大潜在的风险。在 Java 中数据处理不当时，可能会导致本地代码出现意想不到的漏洞，同样本地代码中的不安全操作会破坏 Java 的数据结构。

通过 Java 应用程序访问的本地代码中出现的漏洞，通常与由本地语言编写的应用程序中存在的漏洞是一样的。这种攻击面临的唯一挑战是：攻击者需要确定 Java 应用程序是否使用了本地代码执行某些特定的操作。可以用多种方法实现上述目的，包括识别那些通常用本地代码实现的某些特定行为，或者利用 Java 应用程序中 system information leak 的漏洞（表明系统使用了 JNI）[2]。