清水川崎
清水川崎

CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告

调试环境搭建

  • 1.JDK 8U20
  • 2.下载solr 8.1.0(8.2.0需要开启enable.dih.dataConfigParam)
    https://archive.apache.org/dist/lucene/solr/8.1.0/solr-8.1.0.zip
  • 3.下载java数据库驱动jar，这里以mysql举例
    https://cdn.mysql.com//Downloads/Connector-J/mysql-connector-java-8.0.17.zip
    解压以后可以获得mysql-connector-java-8.0.17.jar
  • 4.放置mysql-connector-java-8.0.17.jar到solr-8.1.0/server/solr-webapp/webapp/WEB-INF/lib/下
  • 5.安装apache-ant
  • 6.进入solr根目录运行ant idea,即可将solr源码编译成intellij idea项目。在编译idea项目时时候可能会失败，此时可以运行 ant ivy-bootstrap
  • 7.使用idea open编译好的文件夹，等待一段时间
  • 8.新增Remote，作如下配置
CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第1张图片
Remote

如果没有server模块，请到solr根目录下运行ant server

  • 9.在如下位置新增xml内容
CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第2张图片
xml内容 
 
    
      db-data-config.xml

db-data-config.xml
  • 10.进入solr/solr/bin，执行如下命令启动solr远程debug模式
    ./solr start -p 8988 -f -a "-Xdebug -Xrunjdwp:transport=dt_socket,server=y,suspend=y,address=8988"
    等待terminal出现Listening for transport dt_socket at address: 8988提示语时，点击idea的debug按钮
CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第3张图片
debug

点击以后，debugger启动，同时solr启动正常

CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第4张图片
debugger启动
CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第5张图片
solr启动正常
  • 11.访问http://127.0.0.1:8988/solr/即可

漏洞分析

1.JNDI触发

根据官方或者网络上的Solr DIH指南，不难得出DIH的基本xml配置如下

得到JdbcDataSource关键字,尝试搜索相关类，最终在org.apache.solr.handler.dataimport包内找到JdbcDataSource类

CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第6张图片
JdbcDataSource类

翻看此类发现jndiName属性,猜测该类可能有JNDI注入的可能性。在JdbcDataSource类中搜索jndiName,找到if (jndiName != null)相关代码片段。尝试在此处打入断点，且尝试构造xml写入配置进行debug。

CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第7张图片
debug

跟踪该断点，直接跳转到getFromJndi方法，随之进入InitialContext类的对象方法lookup

lookup

执行lookup()，可以进行JNDI注入，最终触发org.apache.solr.core.SolrCore的execute完成RCE

RCE
JNDI注入

2.ScriptTransformer触发

根据NVD的漏洞预警和qita的指南，可以得知此次的漏洞是可以通过ScriptTransformer配合script触发的。

CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第8张图片
NVD
CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第9张图片
qita

配置DataSource有多种方式，这里以JdbcDataSource为例

CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第10张图片
DataSource

在org.apache.solr.handler.dataimport.DataImportHandler的handleRequestBody打上断点插入数据进行debug

发现，他会进入下面的判断体

判断体

这里我们的请求的command为full-import

CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第11张图片
full-import

随即进入maybeReloadConfiguration，由于dataconfig不为空，使用loadDataConfig加载

CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第12张图片
loadDataConfig

随后使用readFromXml加载配置文件中提交的数据，使用getText获得function

CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第13张图片
getText

最后获取到所有数据以后，返回一个DIHConfiguration对象，当debug为ture执行runCmd方法

debug为ture

在判断command为full-import时，执行 this.doFullImport(sw, reqParams);

CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第14张图片
doFullImport

在doFullImport中存在this.docBuilder.execute();，将得到一个EntityProcessorWrapper对象——epw

epw中的nextRow中存在applyTransformer()转换脚本，而其使用的是相应Transformer的transformRow

CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第15张图片
applyTransformer

根据官方文档，ScriptTransformer允许多种Java支持的脚本语言调用，如Javascript、JRuby、Jython、Groovy和BeanShell等

CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第16张图片
官方文档

而在solr中，JS的默认引擎是Nashorn

Nashorn

使用scriptEngine.eval(scriptText);取出具体脚本语言和我们要执行的代码

取出

最后调用return this.engine == null ? row : this.engine.invokeFunction(this.functionName, row, context);

CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第17张图片
调用

发现这里调用的invokeFunction其实是javax.script.Invocable的invokeFunction

CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第18张图片
javax.script.Invocable

最终RCE触发成功

RCE触发成功

调用栈如下：

CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告_第19张图片
调用栈

POC

JdbcDataSource poc

URLDataSource poc
JNDI 触发poc可通过自行debug得出

鸣谢

pyn3rd

参考

用Intellij idea搭建solr调试环境:
https://www.cnblogs.com/jeniss/p/5995921.html
SolrでDataImportHandlerのTransformerをJavaScriptで書く:
https://qiita.com/nanakenashi/items/fc613d5b9deec5d2bed7
nvd CVE-2019-0193:
https://nvd.nist.gov/vuln/detail/CVE-2019-0193
Solr Ref Guide 8.1:
https://lucene.apache.org/solr/guide/8_1/uploading-structured-data-store-data-with-the-data-import-handler.html

你可能感兴趣的:(CVE-2019-0193/Apache Solr DataImportHandler远程代码执行漏洞分析报告)

  • 【linux问题】Linux命令行终端窗口的输出，显示不全问题 Thenunaoer 开发过程中遇到的问题Linuxlinux
    Linux命令行终端窗口的输出，显示不全问题问题：图中显示的是一个Linux命令行终端窗口，nmclidevwifi是一个命令——列出所有能用的Wi-Fi。执行命令后，窗口输出了显示了所有能用的Wi-Fi网络列表。但是在每一行末尾有一个“>”符号，这个符号是什么意思？是输出的内容没显示完全的意思吗，那怎么解决？答：图中每行末尾的“>”符号确实表示输出内容被截断，显示的行无法完全显示出所有信息。这种
  • 【Linux刷题练习】 Thenunaoer 刷题linux
    题目1题目：Linux文件权限-rwxr-xr-x是什么意思，怎样变更文件夹以及下面所有文件的拥有者？正确答案：A知识点：文件权限：-rwxr-xr-x表示文件权限：第一个-表示文件类型，如果是d则表示目录。rwx表示文件所有者的权限：可读（r）、可写（w）、可执行（x）。r-x表示文件所有者所在组的用户权限：可读（r）、不可写（-）、可执行（x）。r-x表示其他用户的权限：可读（r）、不可写（-
  • 蓝桥杯篇---IAP15F2K61S2串口 Ronin-Lotus 上位机知识篇嵌入式硬件篇蓝桥杯单片机职场和发展嵌入式硬件cIAP15F2K61S2
    文章目录前言简介串口通信的基本参数1.波特率2.数据位3.停止位4.校验位串口相关寄存器1.SCON2.SBUF3.PCON4.TMOD5.TH1/TL1串口使用步骤1.配置波特率2.配置串口模式3.使能串口中断4.发送数据5.接收数据6.处理中断示例代码：串口发送与接收示例代码：串口接收数据并回显注意事项1.波特率设置2.中断优先级3.数据缓冲区4.错误处理总结前言本文仅仅简单介绍了IAP15F
  • 机器学习：k均值 golemon. ML机器学习均值算法人工智能
    所有代码和文档均在golitter/Decoding-ML-Top10:使用Python优雅地实现机器学习十大经典算法。(github.com)，欢迎查看。在“无监督学习”中，训练样本的标记信息是未知的，目标是通过对无标记训练样本的学习来揭示数据的内在性质及规律，为进一步的数据分析提供基础，较为经典的是聚类。**聚类试图将数据集中的样本划分为若干个通常是不相交的子集，每个子集称为一个“簇”。**聚
  • 用esp32做一个门禁系统 m0_74183254 python
    用esp32做一个门禁系统，显示时间，管理员密码，远程操控等硬件模块：ESP32开发板DS1302RTC模块（用于时间和日期）OLED显示屏（SSD1306）4x4矩阵键盘（用于密码输入）RFID读卡器（如RC522）蜂鸣器（用于报警）电磁锁或舵机控制的锁LED指示灯（绿色和红色）功能模块：RTC时间管理：通过DS1302模块获取时间和日期，并在OLED上显示。密码管理：支持10组用户密码，可修改
  • 前端高级面试题 阿芯爱编程 面试前端
    以下是一些高级前端面试题及答案：一、性能优化如何对大型前端项目进行性能剖析（profiling）？答案：使用ChromeDevTools中的Performance面板。可以记录页面加载和交互过程中的各种性能指标，如脚本执行时间、渲染时间、重绘和回流次数等。利用Lighthouse工具，它可以对网页进行全面的性能评估，包括加载性能、可访问性、最佳实践等方面，并给出优化建议。在代码中手动插入性能测量点
  • Linux使用chrony让局域网内的服务器时间同步_chrony同步间隔，走进Linux运维架构 2401_87298546 服务器运维linux
    在所有节点上执行chrony服务安装命令，将主节点设置时间服务器，其他的节点都从主节点同步时间。#安装服务yum-yinstallchrony#查看状态systemctlstatuschronyd#重启chronydsystemctlrestartchronyd二、检查设置时区在所有节点上设置统一的时间区域，本文中将其设置为亚洲时区，用户可自行定义。#查看时区[root@x~]#timedatec
  • OpenVAS 工具使用全攻略 垚垚 Securify 前沿站 网络
    目录一、引言二、安装OpenVAS2.1准备工作2.2Ubuntu系统安装步骤2.3CentOS系统安装步骤三、配置OpenVAS3.1初始化OpenVAS3.2设置管理员密码3.3启动服务四、使用OpenVAS进行扫描4.1登录Web界面4.2创建扫描任务4.3启动扫描4.4查看扫描结果五、结果分析与处理5.1风险等级评估5.2漏洞修复建议六、总结一、引言OpenVAS（OpenVulnerab
  • 大模型产品Deepseek（三）、API 调用指南 伯牙碎琴 大模型DeepseekAI大模型
    DeepSeekAPI调用指南DeepSeek作为一款高效的智能搜索与推荐引擎，为开发者提供了简洁易用的API接口，使得将其集成到各种应用场景中变得更加高效和便捷。在这一章节中，我们将详细介绍如何通过API调用DeepSeek，包括如何进行身份验证、如何提交请求、如何解析响应以及如何通过代码实现基本的搜索与推荐功能。1.DeepSeekAPI概述DeepSeek作为一款高效的智能搜索与推荐引擎，通
  • js实现按钮加减，长按按钮数字一直可变 iUserWang javascriptjsjavascript购物按钮加减按钮长按按钮
    今天工作过程中遇到一个小问题，即实现按钮加减，单击数据+/-1，长按时会按时间来每秒+/-1。实现后如图所示：按钮显示代码如下：—//减号按钮//数字显示+//加号按钮网上很多资料都只提供了单击事件，而对于长按按钮数字变化都无介绍，部分资料介绍为非js，以下对两种作出说明。一、仅单击事件按钮加减代码：varnum_jia=document.getElementById("num-jia");var
  • Reached heap limit Allocation failed - JavaScript heap out of memory 祝余、 javascript开发语言ecmascript
    问题vue3打包时提示ReachedheaplimitAllocationfailed-JavaScriptheapoutofmemory解决方法（vue3可用）npminstallcross-envincrease-memory-limit然后检查package.jons文件下“scripts”是否有“fix-memory-limit”，如果没有，手动添加如下代码"scripts"：{"fix-
  • 多线程异步执行，等待执行全部执行完成后，返回全部结果 CompletableFuture和Future以及CountDownLatch 使用 知道的越多越难受 javajavajvmservlet
    需求：需要异步执行多个任务，获取每个任务的结果。根据任务结果判断是否继续后面的操作//存储全部任务返回结果集合publicstaticvoidmain(String[]args){Listobjects=Collections.synchronizedList(newArrayList{try{Thread.sleep(1000);}catch(InterruptedExceptione){e.p
  • 离线安装nginx 知道的越多越难受 nginx运维
    文件在资源里1，解压nginx，放在home里如果有网，可以直接下载依赖yuminstallopenssl-devel2，进入解压后的nginx文件夹里执行：iii自定义文件名称，吧zlib和pcre解压到该文件夹下pcre下载地址：https://www.pcre.org/zlib下载地址：./configure--with-zlib=/usr/local/iii/zlib-1.3.1--wit
  • 使用 Qt 插件和 SQLCipher 实现 SQLite 数据库加密与解密 web_15534274656 面试学习路线阿里巴巴数据库qtsqlite
    SQLite作为一种轻量级的数据库，被广泛应用于各种桌面和移动应用中。然而，SQLite本身并不支持数据加密，这时SQLCipher成为一个理想的解决方案。本文将详细介绍如何在Qt项目中集成SQLCipher，实现SQLite数据库的加密与解密，包括创建加密数据库、插入数据以及查询数据的完整流程。目录简介前置条件项目配置代码实现创建加密数据库并插入数据读取加密数据库并查询数据常见问题与解决总结简介
  • vue-cli-service:Permission denied new code Boy vue.js前端javascript
    执行npmrundev时提示vue-cli-service:Permissiondenied进入前端工程cdweb输入权限命令chmod777node_modules/.bin/vue-cli-service
  • TypeScript 与后端开发Node.js m0_74825746 面试学习路线阿里巴巴typescriptnode.jsjavascript
    文章目录一、搭建TypeScript+Node.js项目（一）初始化项目并安装相关依赖1、创建项目目录并初始化2、安装必要的依赖包（二）配置TypeScript编译选项（如模块解析方式适合后端）二、编写服务器代码（一）定义路由类型（使用Express等框架）（二）处理请求和响应的类型（包括中间件的类型）1、请求类型处理2、响应类型处理3、中间件类型处理三、数据库交互（一）使用Type-Safe的数
  • ASUS/华硕枪神8 Plus 超竞版 G634J G614J G814J G814J 原厂Win11 23H2专业版系统 工厂文件 带ASUS Recovery恢复 无限的奇迹 电脑
    华硕工厂文件恢复系统，安装结束后带隐藏分区，带一键恢复，以及机器所有的驱动和软件。支持型号：G634JYRG614JIR、G614JVR、G634JYR、G634JZRG814JIR、G814JVR、G834JYR、G834JZR系统版本：Windows1123H2专业版文件下载：点击下载文件格式：工厂文件安装教程：点击查看需准备一个20G以上u盘进行恢复若不会使用可联系作者有偿远程安装若无U盘，
  • 【CSS】图片比例完整展示与滚动查看 Peter-Lu #CSS开发语言前端css
    文章目录一、问题背景二、问题分析为什么`100vh`会压缩图片高度？为什么固定像素高度有效？三、解决方案与改进1.页面布局代码2.样式代码3.核心点解读容器高度图片样式滚动支持在前端开发中，如何高效地展示多张图片，并确保图片保持原始比例，同时兼顾滚动查看的需求，是一个常见的问题。本文将通过一个实际案例，讲解如何解决100vh固定高度导致图片被压缩的问题，以及如何改进页面布局让滚动与展示兼顾。一、问
  • Node.js 中的 fs 模块详解 小灰灰学编程 Node.jsnode.js前端
    fs（FileSystem）模块是Node.js的核心模块之一，用于处理文件系统的操作，包括文件的读取、写入、删除、重命名等。它提供了同步和异步两种操作方式，适用于不同的场景。1.前置知识1.1文件系统文件系统是操作系统用于管理文件和目录的一种机制。Node.js通过fs模块提供了对文件系统的访问能力。1.2同步与异步同步操作：阻塞代码执行，直到操作完成。异步操作：非阻塞，通过回调函数、Promi
  • FFmpeg源码分析：avformat_open_input chaisy971124568 WebRTC音视频FFmpegffmpeg
    一、函数功能介绍当前支持的媒体解封装协议在libavformat/demuxer_list.c文件的demuxer_list变量中定义当前支持的音视频采集格式在libavdevice/indev_list.c文件的indev_list变量中定义用户可以自行查看av_find_input_format函数的具体逻辑，得知最新版本的ffmpeg支持情况。注意：若进行音视频采集之前，则必须执行avdev
  • Lua 数据库访问 froginwe11 开发语言
    Lua数据库访问引言Lua是一种轻量级的编程语言，因其简洁性和高效性，常被用于游戏开发、嵌入系统和应用程序开发。在许多情况下，数据库访问是应用程序的核心功能之一。本文将深入探讨在Lua中如何进行数据库访问，包括连接数据库、执行查询、处理结果以及异常处理等。Lua数据库访问概述在Lua中，有多种方法可以用来访问数据库。以下是几种常用的数据库访问方式：直接使用数据库的命令行工具：例如，使用MySQL的
  • android database SQLite 一路阳光随行 Androidsqlitedatabaseandroid存储数据库
    2.数据库基本知识观花对于一些和我一样还没有真正系统学习数据库技术的同学来说，把SQL92标准中的一些基本概念、基本语句快速的了解一下，是很有必要的，这样待会用Android的database相关方法去执行一些数据库语句时就不会茫然了。①数据库的基本结构——表格表格是数据库中储存资料的基本架构。表格被分为栏位(column)及列位(row)。每一列代表一笔资料，而每一栏代表一笔资料的一部份。举例来
  • 基于医疗知识图谱的问答系统 基于知识图谱的多轮问答 附完整代码数据详细教程 计算机毕设论文 深度学习-自然语言处理nlp医疗知识知识图谱Neo4j多轮问答
    这个项目已实现的功能：1.闲聊类的单论对话2.基于知识图谱的多轮问答数据链接：链接：https://pan.baidu.com/s/1oPr1m8aaIeoMu53OIEULPg提取码：fh39一、项目来源由于之前用Rasa构建过对话系统，因此一直想脱离Rasa这个开源框架，从底层开始构建一个可以实现相似功能的对话系统，毕竟框架用的再溜，都不如自己做一遍。恰巧在Rasa群里看到了前辈分享的一个项目
  • 多体动力学仿真软件：GT-SUITE_（7）.动力学分析 kkchenjj 多体动力学仿真仿真模拟模拟仿真多体动力学
    动力学分析在多体动力学仿真软件中，动力学分析是核心功能之一，它可以帮助工程师和研究人员准确地模拟和分析复杂多体系统的运动和受力情况。动力学分析包括多种类型，如静力学分析、运动学分析和动力学分析。本节将详细介绍这些分析的原理和内容，并提供具体的代码示例和数据样例，以帮助读者更好地理解和应用这些技术。静力学分析静力学分析用于研究系统在力和约束作用下的静态平衡状态。在GT-SUITE中，静力学分析主要涉
  • three.js性能优化 火辣辣- 学习总结学习笔记three.js性能优化
    本文持续更新~~~参考文章three.js是JavaScript编写的WebGL第三方库。提供了非常多的3D显示功能。在使用的时候，虽然three.js做了优化，但是在使用不恰当的代码，也会产生性能损耗。帧率越低，给人感觉就越卡。这是我在开发中自己百度总结的，有不对的可以联系我啊2019-08-22更新———————1、disppose()方法得重要性每当你创建一个three.js中的实例时，都会
  • [AcWing] 算法基础课（一）学算法强推哦 vo很懒 算法算法leetcode数据结构
    第一讲基础算法本文题目及代码全部来自AcWing，强推！(因为没有接触过C++所以一开始学起来不是很容易，慢慢听下去边查边学就好啦)文章目录第一讲基础算法1.排序1.1快速排序1.2归并排序2.二分2.1整数二分(较麻烦)2.2浮点数二分3.前缀和与差分3.1前缀和3.2差分4.双指针5.位运算6.离散化7.区间合并1.排序1.1快速排序快速排序基础算法：题目：#includeusingnames
  • 最新2024.5.7版威盾IP-guard V4.84全向文档加密 桌面安全管理系统8000用户破解 heike_沧海 tcp/ip安全网络协议系统安全数据库前端web安全
    最新2024.5.7版威盾IP-guardV4.84全向文档加密桌面安全管理系统8000用户破解,可注册用户数V4.84.112（New）功能改进:日志查询的时间范围增加了时分秒的设置远程维护进程信息增加了进程树和加载模块等信息客户端增加了扫描企业微信、钉钉二维码登录验证增加了管控企业微信登录的组织的功能涉敏信息全盘扫描任务增加了备份副本的功能涉敏信息外传策略中增加了应用程序条件增加了复制到剪切板
  • AI大模型的技术突破与传媒行业变革 AIQL 行业分析人工智能传媒
    性能与成本：AI大模型的“双轮驱动”过去几年，AI大模型的发展经历了从实验室到产业化的关键转折。2025年初，以DeepSeekR1为代表的模型在数学推理、代码生成等任务中表现超越国际头部产品，而训练成本仅为传统模型的几十分之一。这一突破的核心在于三大技术创新：MoE架构升级：通过部署256个细粒度专家网络，减少知识冗余，提升模型效率；MLA注意力机制：动态压缩推理过程中的缓存需求，降低GPU内存
  • Java程序性能优化读书笔记（一）：Java性能调优概述 anxunnian1498 java数据库操作系统
    程序性能的主要表现点：执行速度：程序的反映是否迅速，响应时间是否足够短内存分配：内存分配是否合理，是否过多地消耗内存或者存在内存泄漏启动时间：程序从运行到可以正常处理业务需要花费多少时间负载承受能力：当系统压力上升时，系统的执行速度、响应时间的上升曲线是否平缓衡量程序性能的主要指标：执行时间：程序从运行到结束所使用的时间CPU时间：函数或者线程占用CPU的时间内存分配：程序在运行时占用内容的空间磁
  • 双指针算法 AcWing 2816. 判断子序列 飞滕人生TYF 算法算法c++数据结构
    双指针算法AcWing2816.判断子序列原题链接AcWing2816.判断子序列算法标签双指针思路子序列指序列的一部分项按原有次序排列而得的序列。在枚举序列a时，若匹配上，即a[i]==b[j]，需使i,j后移，若尚未匹配上，需使j后移。所以j满足单调性，可使用双指针算法代码#include#defineintlonglong#definerep(i,a,b)for(inti=a;ib;--i)
  • [星球大战]阿纳金的背叛 comsci
          本来杰迪圣殿的长老是不同意让阿纳金接受训练的.........     但是由于政治原因,长老会妥协了...这给邪恶的力量带来了机会     所以......现代的地球联邦接受了这个教训...绝对不让某些年轻人进入学院    
  • 看懂它，你就可以任性的玩耍了！ aijuans JavaScript
              javascript作为前端开发的标配技能，如果不掌握好它的三大特点：1.原型 2.作用域 3. 闭包 ,又怎么可以说你学好了这门语言呢？如果标配的技能都没有撑握好，怎么可以任性的玩耍呢？怎么验证自己学好了以上三个基本点呢，我找到一段不错的代码，稍加改动，如果能够读懂它，那么你就可以任性了。 function jClass(b
  • Java常用工具包 Jodd Kai_Ge javajodd
    Jodd 是一个开源的 Java 工具集， 包含一些实用的工具类和小型框架。简单，却很强大！ 写道 Jodd = Tools + IoC + MVC + DB + AOP + TX + JSON + HTML < 1.5 Mb Jodd 被分成众多模块，按需选择，其中 工具类模块有： jodd-core    &nb
  • SpringMvc下载 120153216 springMVC
    @RequestMapping(value = WebUrlConstant.DOWNLOAD) public void download(HttpServletRequest request,HttpServletResponse response,String fileName) { OutputStream os = null; InputStream is = null;
  • Python 标准异常总结 2002wmj python
    Python标准异常总结 AssertionError 断言语句（assert）失败 AttributeError 尝试访问未知的对象属性 EOFError 用户输入文件末尾标志EOF（Ctrl+d） FloatingPointError 浮点计算错误 GeneratorExit generator.close()方法被调用的时候 ImportError 导入模块失
  • SQL函数返回临时表结构的数据用于查询 357029540 SQL Server
    这两天在做一个查询的SQL，这个SQL的一个条件是通过游标实现另外两张表查询出一个多条数据，这些数据都是INT类型，然后用IN条件进行查询，并且查询这两张表需要通过外部传入参数才能查询出所需数据，于是想到了用SQL函数返回值，并且也这样做了，由于是返回多条数据，所以把查询出来的INT类型值都拼接为了字符串，这时就遇到问题了，在查询SQL中因为条件是INT值，SQL函数的CAST和CONVERST都
  • java 时间格式化 | 比较大小| 时区 个人笔记 7454103 javaeclipsetomcatcMyEclipse
    个人总结！ 不当之处多多包含！ 引用 1.0 如何设置 tomcat 的时区：          位置：(catalina.bat---JAVA_OPTS  下面加上)          set JAVA_OPT
  • 时间获取Clander的用法 adminjun Clander时间
    /**    * 得到几天前的时间    * @param d    * @param day    * @return    */   public static Date getDateBefore(Date d,int day){    Calend
  • JVM初探与设置 aijuans java
    JVM是Java Virtual Machine（Java虚拟机）的缩写，JVM是一种用于计算设备的规范，它是一个虚构出来的计算机，是通过在实际的计算机上仿真模拟各种计算机功能来实现的。Java虚拟机包括一套字节码指令集、一组寄存器、一个栈、一个垃圾回收堆和一个存储方法域。 JVM屏蔽了与具体操作系统平台相关的信息，使Java程序只需生成在Java虚拟机上运行的目标代码（字节码）,就可以在多种平台
  • SQL中ON和WHERE的区别 avords
    SQL中ON和WHERE的区别   数据库在通过连接两张或多张表来返回记录时，都会生成一张中间的临时表，然后再将这张临时表返回给用户。   www.2cto.com   在使用left jion时，on和where条件的区别如下：  1、 on条件是在生成临时表时使用的条件，它不管on中的条件是否为真，都会返回左边表中的记录。 
  • 说说自信 houxinyou 工作生活
    自信的来源分为两种,一种是源于实力,一种源于头脑.实力是一个综合的评定,有自身的能力,能利用的资源等.比如我想去月亮上,要身体素质过硬,还要有飞船等等一系列的东西.这些都属于实力的一部分.而头脑不同,只要你头脑够简单就可以了!同样要上月亮上,你想,我一跳,1米,我多跳几下,跳个几年,应该就到了!什么?你说我会往下掉?你笨呀你!找个东西踩一下不就行了吗?     无论工作还
  • WEBLOGIC事务超时设置 bijian1013 weblogicjta事务超时
            系统中统计数据，由于调用统计过程，执行时间超过了weblogic设置的时间，提示如下错误： 统计数据出错! 原因：The transaction is no longer active - status: 'Rolling Back. [Reason=weblogic.transaction.internal
  • 两年已过去，再看该如何快速融入新团队 bingyingao java互联网融入架构新团队
    偶得的空闲，翻到了两年前的帖子 该如何快速融入一个新团队，有所感触，就记下来，为下一个两年后的今天做参考。     时隔两年半之后的今天，再来看当初的这个博客，别有一番滋味。而我已经于今年三月份离开了当初所在的团队，加入另外的一个项目组，2011年的这篇博客之后的时光，我很好的融入了那个团队，而直到现在和同事们关系都特别好。大家在短短一年半的时间离一起经历了一
  • 【Spark七十七】Spark分析Nginx和Apache的access.log bit1129 apache
    Spark分析Nginx和Apache的access.log，第一个问题是要对Nginx和Apache的access.log文件进行按行解析，按行解析就的方法是正则表达式：   Nginx的access.log解析正则表达式   val PATTERN = """([^ ]*) ([^ ]*) ([^ ]*) (\\[.*\\]) (\&q
  • Erlang patch bookjovi erlang
    Totally five patchs committed to erlang otp, just small patchs. IMO, erlang really is a interesting programming language, I really like its concurrency feature. but the functional programming style
  • log4j日志路径中加入日期 bro_feng javalog4j
    要用log4j使用记录日志，日志路径有每日的日期，文件大小5M新增文件。 实现方式 log4j: <appender name="serviceLog" class="org.apache.log4j.RollingFileAppender"> <param name="Encoding" v
  • 读《研磨设计模式》-代码笔记-桥接模式 bylijinnan java设计模式
    声明： 本文只为方便我个人查阅和理解，详细的分析以及源代码请移步 原作者的博客http://chjavach.iteye.com/ /** * 个人觉得关于桥接模式的例子，蜡笔和毛笔这个例子是最贴切的：http://www.cnblogs.com/zhenyulu/articles/67016.html * 笔和颜色是可分离的，蜡笔把两者耦合在一起了：一支蜡笔只有一种
  • windows7下SVN和Eclipse插件安装 chenyu19891124 eclipse插件
    今天花了一天时间弄SVN和Eclipse插件的安装，今天弄好了。svn插件和Eclipse整合有两种方式，一种是直接下载插件包，二种是通过Eclipse在线更新。由于之前Eclipse版本和svn插件版本有差别，始终是没装上。最后在网上找到了适合的版本。所用的环境系统：windows7JDK：1.7svn插件包版本：1.8.16Eclipse：3.7.2工具下载地址：Eclipse下在地址：htt
  • [转帖]工作流引擎设计思路 comsci 设计模式工作应用服务器workflow企业应用
    作为国内的同行，我非常希望在流程设计方面和大家交流，刚发现篇好文(那么好的文章，现在才发现，可惜)，关于流程设计的一些原理，个人觉得本文站得高，看得远，比俺的文章有深度，转载如下 ================================================================================= 自开博以来不断有朋友来探讨工作流引擎该如何
  • Linux 查看内存，CPU及硬盘大小的方法 daizj linuxcpu内存硬盘大小
    一、查看CPU信息的命令 [root@R4 ~]# cat /proc/cpuinfo |grep "model name" && cat /proc/cpuinfo |grep "physical id" model name : Intel(R) Xeon(R) CPU X5450 @ 3.00GHz model name :
  • linux 踢出在线用户 dongwei_6688 linux
    两个步骤： 1.用w命令找到要踢出的用户，比如下面：   [root@localhost ~]# w 18:16:55 up 39 days, 8:27, 3 users, load average: 0.03, 0.03, 0.00 USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT
  • 放手吧,就像不曾拥有过一样 dcj3sjt126com
    内容提要： 静悠悠编著的《放手吧就像不曾拥有过一样》集结“全球华语世界最舒缓心灵”的精华故事，触碰生命最深层次的感动，献给全世界亿万读者。《放手吧就像不曾拥有过一样》的作者衷心地祝愿每一位读者都给自己一个重新出发的理由，将那些令你痛苦的、扛起的、背负的，一并都放下吧！把憔悴的面容换做一种清淡的微笑，把沉重的步伐调节成春天五线谱上的音符，让自己踏着轻快的节奏，在人生的海面上悠然漂荡，享受宁静与
  • php二进制安全的含义 dcj3sjt126com PHP
    PHP里，有string的概念。 string里，每个字符的大小为byte（与PHP相比，Java的每个字符为Character，是UTF8字符，C语言的每个字符可以在编译时选择）。 byte里，有ASCII代码的字符，例如ABC，123，abc，也有一些特殊字符，例如回车，退格之类的。 特殊字符很多是不能显示的。或者说，他们的显示方式没有标准，例如编码65到哪儿都是字母A，编码97到哪儿都是字符
  • Linux下禁用T440s，X240的一体化触摸板(touchpad) gashero linuxThinkPad触摸板
    自打1月买了Thinkpad T440s就一直很火大，其中最让人恼火的莫过于触摸板。   Thinkpad的经典就包括用了小红点(TrackPoint)。但是小红点只能定位，还是需要鼠标的左右键的。但是自打T440s等开始启用了一体化触摸板，不再有实体的按键了。问题是要是好用也行。   实际使用中，触摸板一堆问题，比如定位有抖动，以及按键时会有飘逸。这就导致了单击经常就
  • graph_dfs hcx2013 Graph
    package edu.xidian.graph; class MyStack { private final int SIZE = 20; private int[] st; private int top; public MyStack() { st = new int[SIZE]; top = -1; } public void push(i
  • Spring4.1新特性——Spring核心部分及其他 jinnianshilongnian spring 4.1
    目录 Spring4.1新特性——综述 Spring4.1新特性——Spring核心部分及其他 Spring4.1新特性——Spring缓存框架增强 Spring4.1新特性——异步调用和事件机制的异常处理 Spring4.1新特性——数据库集成测试脚本初始化 Spring4.1新特性——Spring MVC增强 Spring4.1新特性——页面自动化测试框架Spring MVC T
  • 配置HiveServer2的安全策略之自定义用户名密码验证 liyonghui160com
        具体从网上看   http://doc.mapr.com/display/MapR/Using+HiveServer2#UsingHiveServer2-ConfiguringCustomAuthentication   LDAP Authentication using OpenLDAP Setting
  • 一位30多的程序员生涯经验总结 pda158 编程工作生活咨询
    1.客户在接触到产品之后，才会真正明白自己的需求。 　　这是我在我的第一份工作上面学来的。只有当我们给客户展示产品的时候，他们才会意识到哪些是必须的。给出一个功能性原型设计远远比一张长长的文字表格要好。 2.只要有充足的时间，所有安全防御系统都将失败。 　　安全防御现如今是全世界都在关注的大课题、大挑战。我们必须时时刻刻积极完善它，因为黑客只要有一次成功，就可以彻底打败你。   3.
  • 分布式web服务架构的演变 自由的奴隶 linuxWeb应用服务器互联网
    最开始，由于某些想法，于是在互联网上搭建了一个网站，这个时候甚至有可能主机都是租借的，但由于这篇文章我们只关注架构的演变历程，因此就假设这个时候已经是托管了一台主机，并且有一定的带宽了，这个时候由于网站具备了一定的特色，吸引了部分人访问，逐渐你发现系统的压力越来越高，响应速度越来越慢，而这个时候比较明显的是数据库和应用互相影响，应用出问题了，数据库也很容易出现问题，而数据库出问题的时候，应用也容易
  • 初探Druid连接池之二——慢SQL日志记录 xingsan_zhang 日志连接池druid慢SQL
    由于工作原因，这里先不说连接数据库部分的配置，后面会补上，直接进入慢SQL日志记录。   1.applicationContext.xml中增加如下配置： <bean abstract="true" id="mysql_database" class="com.alibaba.druid.pool.DruidDataSourc
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他