1、首先确保hostname绑定的不是localhost或者127.0.0.1、0.0.0.0，否则报
RMI全称是Remote Method Invocation(远程方法调用)，Java RMI威力体现在它强大的开发分布式网络应用的能力上，是纯Java的网络分布式应用系统的核心解决方案之一。其实它可以被看作是RPC的Java版本。但是传统RPC并不能很好地应用于分布式对象系统。而Java RMI 则支持存储于不同地址空间的程序级对象之间彼此进行通信，实现远程对象之间的无缝远程调用。
在 Java 世界里，有一种技术可以实现“跨虚拟机”的调用，它就是 RMI（Remote Method Invocation，远程方法调用）。例如，服务A 在 JVM1 中运行，服务B 在 JVM2 中运行，服务A 与 服务B 可相互进行远程调用，就像调用本地方法一样，这就是 RMI。在分布式系统中，我们使用 RMI 技术可轻松将 服务提供者（Service Provider）与 服务消费者（Service Consumer）进行分离，充分体现组件之间的弱耦合，系统架构更易于扩展。
fastjson用于将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。fastjson.jar是阿里开发的一款专门用于Java开发的包，可以方便的实现json对象与JavaBean对象的转换，实现JavaBean对象与json字符串的转换，实现json对象与json字符串的转换。除了这个fastjson以外，还有Google开发的Gson包，其他形式的如net.sf.json包，都可以实现json的转换。方法名称不同而已，最后的实现结果都是一样的。
发送恶意请求后,rmi监听的口会收到B主机的连接并读取恶意类,如果没有监听到就代表失败了
1. 编写远程服务接口，该接口必须继承 java.rmi.Remote 接口，方法必须抛出 java.rmi.RemoteException 异常；
Oracle官方在北京时间2018年4月18日凌晨发布了关键补丁更新，其中包含了OracleWebLogic Server的一个高危反序列化漏洞（CVE-2018-2628），通过该漏洞，攻击者可以在未授权的情况下远程执行代码。
1）端口号被占用：杀死占用端口号（一般为8080）的进程，释放端口；彻底关闭 Tomcat 服务器，或者重新启动项目。
Slave上的机器执行完全按照Master机器的指令执行。包括场景、脚本。所以我们只需要修改master上的脚本就可以了，无需修改slave上的内容
由于Log4j2组件在处理程序日志记录时存在JNDI注入缺陷，未经授权的攻击者利用该漏洞，可向目标服务器发送精心构造的恶意数据，触发Log4j2组件解析缺陷，实现目标服务器的任意代码执行，获得目标服务器权限。 https://mp.weixin.qq.com/s/15zcLEk6_x2enszhim9afA
介绍什么的就不说了,简介以及1.2.24的复现和详细分析可以看 Java反序列化(十) | Fastjson – CVE-2017-18349
题目一 JDBC是什么？ JDBC（Java DataBase Connectivity,java数据库连接）是一种用于执行SQL语句的Java API，可以为多种关系数据库提供统一访问，由一组用Java语言编写的类和接口组成。JDBC提供了一种基准，可以用来构建更高级的工具和接口，使数据库开发人员能够编写数据库应用程序，同时不必关心特定数据库的底层细节。 题目二 Driver在JDBC中有哪些作用？ JDBC驱动提供了特定厂商对JDBCAPI接口类的实现，驱动必须要提供java.sql包下面这些类的实
最近互联网技术圈最火的一件事莫过于Log4j2的漏洞了。同时也涌现出了各类分析文章，关于漏洞的版本、漏洞的原因、漏洞的修复、程序员因此加班等等。
当一个JMeter客户端因网络限制等因素，无法模拟足够的用户对服务器施压时，需要用到JMeter分布式测试：用一台控制机，控制多台远程负载机，同时对服务器施压。
1、Jmeter分布式测试时，选择其中一台作为控制机(Controller)，其它机器做为代理机(Agent)。
请访问制造喵GPT地址：https://chat.plexpt.com/i/511440
漏洞成因: log4j支持jndi，可以远程调用rmi和ldap，由于rmi和idap本身存在漏洞，因此log4j就会简介触发rmi和idap
经过一周时间的Log4j2 RCE事件的发酵，事情也变也越来越复杂和有趣，就连 Log4j 官方紧急发布了 2.15.0 版本之后没有过多久，又发声明说 2.15.0 版本也没有完全解决问题，然后进而继续发布了 2.16.0 版本。大家都以为2.16.0是最终终结版本了，没想到才过多久又爆雷，Log4j 2.17.0横空出世。
https://www.cnblogs.com/poloyy/category/1746599.html
使用VisualVM监控远程主机上JAVA应用程序时，需要开启远程主机上的远程监控访问，或者在远程JAVA应用程序启动时，开启远程监控选项，两种方法，选择其中一种就可以开启远程监控功能，配置完成后就可以在本地对远程主机上的JAVA应用程序进行监控。
log4j支持jndi，可以远程调用rmi和ldap，由于rmi和idap本身存在漏洞，因此log4j就会简介触发rmi和idap
当我们的AWS实例启动并运行时，通过发出以下命令在每个主机上创建一个docker容器：
本篇文章由浅入深地介绍了Fastjson的一系列反序列化漏洞，基于RMI或LDAP方式反序列化漏洞利用对Fastjson进行RCE。在学习Fastjson过程中阅读了几十篇中英文Fastjson相关技术文章，最终按照作者我的思路进行总结，相关参考文章也在文末列出。此外，文中可能会出现部分错误，望读者指出，谢谢。接着，开始我们的Fastjson框架渗透学习！！
Spring Boot Actuator端点通过 JMX 和HTTP 公开暴露给外界访问，大多数时候我们使用基于HTTP的Actuator端点，因为它们很容易通过浏览器、CURL命令、shell脚本等方式访问。
业务层不变, 应用层 设置一个集合存放url地址, 调用ThreadLocalRandom取随机数的方法为index ,定义一个String类型url获取集合中的地址
千呼万唤始出来，这一篇感觉写了好久，总想写的清楚明白简洁，但是还是洋洋洒洒写了好多，希望大家喜欢吧！本来打算将这一篇文章是放在性能测试中讲解和分享的，但是有的童鞋或者小伙伴们私下问的太多了，实在是忍不了也解答烦了，索性就在这里分享一下吧。权当参考，但是希望对大家有所帮助。
HTTP ： 应用层中的不同应用进程之间 进行数据交换的一种约束、规定、 学名协议，在和导师的对话中的一个问题 ： rmi 和 rpc 或者说实现他们的工具集 他们各种依据的什么样的协议？
1. 为什么需要性能监控？ 有时我们会发现Java程序在运行一段时间之后速度会变慢，导致变慢的原因有很多，比如数据库延迟太高，线程死锁，频繁的Full GC等等。通常遇到这种情况时，我们可以通过top或htop命令查看Java进程的CPU和内存的占用情况，但是无法准确的找出系统变慢的原因。这时我们就需要一种方式可以实时的查看Java虚拟机的运行情况，进而发现系统变慢的原因。本文将介绍如何通过JMX进行Java性能的远程监视。 2. 什么是JMX？ JMX(Java Managemen
jmeter分布式压测时，选择其中一台作为控制机，其余的机器做为负载机，执行时，控制机会把脚本发送到每个负载机上，负载机获取到脚本就执行脚本（负载机只需要启动jmeter-server.bat或者jmeter-server），执行后，负载机回传执行结果给控制机，控制机会进行汇总。值得注意的是：如果请求执行成功，不会回传请求的响应信息，所以在查看结果树中， 响应结果看到是空的。
docker是一个用于开发，交付和运行应用程序的开放平台。docker能够将应用程序和基础架构分开，从而实现快速交付软件。通过利用docker的快速交付，测试和部署代码的方法，可以大大减少编写代码和在生产环境中运行代码之间的延迟。
Quartz学习 介绍Quartz Quartz是一个开源的任务调度系统，它能用来调度很多任务的执行。 运行环境 Quartz 能嵌入在其他应用程序里运行。 Quartz 能在一个应用服务器里被实例化(或servlet容器), 并且参与XA事务 Quartz能独立运行（通过JVM）,或者通过RMI Quartz能被集群实例化 任务调度 当一个指定给任务的触发器发生时,任务就被调度执行. 触发器能被创建为: 一天的某个时间(精确到毫秒级) 一周的某些天 一个月的某些天 一年的某些天 不在一个Calendar列
Docker 是一个开源的应用容器引擎，让开发者可以打包他们的应用以及依赖包到一个可移植的镜像中，然后发布到任何流行的 Linux或Windows机器上。使用Docker可以更方便低打包、测试以及部署应用程序。
引言部分摘自百度百科，实际上JMX是java5开始提供的对java应用进行监控的一套接口，或者我们也可以像理解JUC包一样理解JMX，把它当成一个框架。JMX这一套接口/框架实现了jvm的一些监控，比如将操作系统信息，内存使用情况，线程情况，gc情况包装为bean，我们使用的jconsole工具就是对这些包装的bean进行图形化的展示，但是我们常用的jstat，jmap等监控工具是由虚拟机直接支持的，并不是通过JMX。
这个漏洞实质还是JMX反序列化漏洞，tomcat同样也用了JmxRemoteLifecycleListener这个监听器，但是tomcat在Oracle修复这个漏洞后自己没有及时更新，导致了反序列还依旧存在。网上搜了很多关于该漏洞的分析文章基本上都是0c0c0f牛在微信公众号里文章的转载或是变种，也基本都是在window系统上做的测试，所以也就想在linux也测试一下，也就有了这篇文章，大牛们勿喷呐= =、。
同一个仓库源可以有多个TAG，表示这个仓库源的不同版本，我们使用REPOSITORY:TAG来定义不同的镜像。如果不指定一个镜像的版本标签，例如只使用tomcat，docker将默认使用tomcat:latest镜像
关于jmeter分布式压测如何搭建网上的文章很多，搭建过程本文不再赘述，主要讨论可能的报错以及解决方案，下面的内容可能查阅的频率很高，强烈建议收藏。
第一篇讨论了面向对象编程和它的特点，关于Java和它的功能的常见问题，Java的集合类，垃圾收集器，本章主要讨论异常处理，Java小应用程序，Swing，JDBC，远程方法调用(RMI)，Servlet和JSP。 异常处理
继上一篇博客Docker系列之原理简单介绍之后，本博客对常用的Docker命令进行实践
发起一次RMI通信，Server端192.168.111.1，Client端192.168.111.2
JEP290增强机制是在2016年提出的一个针对JAVA 9的一个新特性，用于缓解反序列化攻击，随后官方决定向下引进该增强机制，分别对JDK 6,7,8进行了支持：
settings—》Build，Execution，Deployment—》Build Tools—》Maven—》Importing—》JDK for importer选择你安装的JDK版本
在分析Fastjson漏洞前，需要了解RMI机制和JNDI注入等知识点，所以本篇文来分析一下RMI机制。
最近在看《Head First设计模式》一书的代理模式时，提到了Java RMI，即Java远程方法调用这个概念。于是上网找了一些关于Java RMI的资料加以学习。
RMI(Remote Method Invocation，远程方法调用)是从java1.1开始实现的，它大大增强了Java开发分布式应用的能力。RMI对接口有着强烈的依赖，在需要创建一个远程对象的时候，我们通过传递一个接口来隐藏基层的实施细节，所以客户得到远程对象的一个句柄时，它们真正得到的是接口句柄，然后本地代码通过接口操作远程对象。通过RMI编写程序可以非常方便的实现分布式Java应用程序。
首先RMI（Remote Method Invocation）是Java特有的一种RPC实现，它能够使部署在不同主机上的Java对象进行通信与方法调用，它是一种基于Java的远程方法调用技术。
RPC（Remote Procedure Call）远程过程调用，它是一种通过网络从远程计算机程序上请求服务，而不需要了解底层网络技术的协议。RPC的诞生起源于分布式的使用，最开始的系统都是在一台服务器上，这样本地调用本无问题。但随着网络爆炸式的增长，单台服务器已然不满足需求，出现了分布式，接口和实现类分别放到了两个服务器上，怎么调用呢？JVM不同，内存地址不同，不可能直接访问调用。由于 RPC 的使用还是过于麻烦，Java RMI 便由此产生。
提示：对于容器的操作可使用 CONTAINER ID 或 NAMES。推荐：250 期面试题汇总
RMI（Remote Method） Invocation):远程方法调用，即在RPC的基础上有向前迈进了一步，提供分布式对象间的通讯。允许运行在一个java虚拟机的对象调用运行在另一个java虚拟机上对象的方法。这两个虚拟机可以是运行在相同计算机上的不同进程中，也可以是运行在网络上的不同计算机中。 Java RMI 威力强大 Java RMI在JDK1.1中实现的，其威力就体现在它强大的开发分布式网络应用的能力上，是纯Java的网络分布式应用系统的核心解决方案之一。其实它可以被看作是RPC的Java版本。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
