不停机替换线上代码？你没听错，Arthas它能做到

1.关于URLConnection

应用程序利用url与远程通信的所有类的超类

javaweb-codereview 学习记录-5

jdk1.8中支持的协议包括以上这些，gopher在jdk8中取消了。

java中默认对(http|https)做了一些事情，比如:

默认启用了透明NTLM认证
默认跟随跳转

httpURLconnection可能jdk7低版本可能在win机器上导致ntlmrelay攻击https://zhuanlan.zhihu.com/p/64889695

使用URLconnection的子类可能只适合http|https，对ssrf也有一定的限制

HttpURLConnection
HttpClient
Request
okhttp

2.关于java agent

Java中Instrumentation(Java Agent API)和JVMTI(JVM Tool Interface)功能，允许JVM在加载某个class文件之前对其字节码进行修改，同时也支持对已加载的class(类字节码)进行重新加载(Retransform)，rsap和iast都基于这个功能实现动态修改java字节码来插入检测代码

java agent的两种运行模式：

1.直接在命令添加运行参数 -javaagent(Instrumentation API实现方式)或-agentpath/ -agentlib(JVMTI的实现方式)

2.attach方式，直接将agent加到对应的java进程

helloWorld.java

public class helloWorld {
    public static void main(String[] args){
        System.out.println("hello world");
    }
}

比如就上面一段简单的代码，编译后取修改器字节码让其输出hello world，想一下hello world在编译后存储在class文件中,那么此时已经编译成字节码，要输出的字符串肯定也是以字节码存储着，那么此时可以直接替换获取编译好的字节码进行修改

testagent.java

import java.lang.instrument.ClassFileTransformer;
import java.lang.instrument.IllegalClassFormatException;
import java.lang.instrument.Instrumentation;
import java.security.ProtectionDomain;
import java.util.Arrays;

public class testagent {

    private static byte[] relaceBytes(String classname,byte[] classbuffer)
    {
        String bufferStr = Arrays.toString(classbuffer).replace("[","").replace("]","");
        System.out.println("classname:"+classname);
        System.out.println("byes:"+ bufferStr);

        byte[] findBytes = "hello world".getBytes();
        String findStr = Arrays.toString(findBytes).replace("[","").replace("]","");
        System.out.println("world"+findStr);
        byte[] replaceBytes = "hello agent".getBytes();
        String replaceStr = Arrays.toString(replaceBytes).replace("[","").replace("]","");
        System.out.println("agent"+replaceStr);
        bufferStr = bufferStr.replace(findStr,replaceStr);

        System.out.println(bufferStr);

        String[]  bytearr = bufferStr.split("\\s*,\\s*");

        byte[] bytes = new byte[bytearr.length];

        for(int i=0;i < bytearr.length;i++)
        {
            bytes[i] = Byte.parseByte((bytearr[i]));

        }

        System.out.println("new byte :"+Arrays.toString(bytes));

        return bytes;




    }
    public static void premain(String args,final Instrumentation inst){
        inst.addTransformer(new ClassFileTransformer() {
            public byte[] transform(ClassLoader loader, String className, Class<?> classBeingRedefined, ProtectionDomain protectionDomain, byte[] classfileBuffer) throws IllegalClassFormatException {

            className = className.replace("/",".");
               if(className.equals("helloWorld")){
                 return   relaceBytes(className,classfileBuffer);

               }
                return classfileBuffer;
            }
        },true);

    }
}