プロセスメモリのパスワードはヒープダンプにはありません

Question

http://processhacker.sourceforge.netのようなツールを使用してランタイムアプリケーションのメモリを調べることができるjavaプロセスの問題について、最近私はつまずきました。ツール - アプリケーションで認証に使用されたパスワードが表示されます。問題を調査したところ、パスワードは使用後にゼロになっているようです。 Java Mission Control（GCが無効）を使用してヒープダ​​ンプを行い、パスワードを取得できるかどうかを確認しようとしました。 Eclipseのメモリツールを使用した私のような単純なクエリを実行しました：

SELECT * FROM char[] c WHERE toString(c).startsWith("mypasswordsample") 

しかし、それはすべての結果が得られなかった、とパスワードは時間かそこら後もプロセスのハッカーで見えました。 GCを有効にしてヒープダ​​ンプを実行すると、プロセスのハッカーはパスワードを見つけられなくなったようです。

舞台裏でJVMは何をしていますか？ライブオブジェクトでパスワードが見つからないのはなぜですか？このパスワードがどこに保存されているのか、誰が作成したのか、なぜゼロにしていないのかを確認するために何らかのダンプを実行できますか？

Answer 1

これはあまりにも具体的ですが、多くのパスワード（特にJAASの場合）は文字列ではなく文字配列を使用し、使用後に文字を明示的にゼロにします。したがって、ログオンしている間にヒープダンプを取得した場合は、それを見ることができます。しかしそうでなければ、あなたはしません。このメカニズムを使用するJAASのPasswordCallbackを参照してください。

（配列が変更可能であるため、文字の配列が使用されるため、後で通過して各文字をスペースに設定するか、または\0を認証に使用しています。メモリの内容がすばやくスヌーピングするためのデータを保持すべきではありません。