标签：kg crypto 官方 密钥 key import Shiro

原文链接：这里

0.前言

平台漏洞扫描，扫描到一堆安全问题，其中有个关于Shiro的。主要是说如果项目中shiro key为默认密钥或者网络公开密钥，就可以轻易的导致远程代码执行。

本文框架SSM+shiro。

1.解决思路

(1)升级Shiro版本，为1.7.0以上

(2)自定义一个base 64 AES密钥

(3)使用官方生成的方法提供密钥

本文选择的是第三种办法：

我们在shrio新建一个类。参照下面的代码进行添加：

 

import javax.crypto.KeyGenerator; import javax.crypto.SecretKey; import java.security.NoSuchAlgorithmException; public class GenerateCipherKey { /** * 随机生成秘钥，参考org.apache.shiro.crypto.AbstractSymmetricCipherService#generateNewKey(int) * @return */ public static byte[] generateNewKey() { KeyGenerator kg; try { kg = KeyGenerator.getInstance("AES"); } catch (NoSuchAlgorithmException e) { String msg="this is required to function!"; throw new IllegalStateException(msg, e); } kg.init(128); SecretKey key = kg.generateKey(); byte[] encoded = key.getEncoded(); return encoded; } }

然后在spring-shrio.xml找到remembermeManager。添加如下代码：

<property name="cipherKey" value="#{T(com.xxxxxx.xxxxx.shiro.GenerateCipherKey).generateNewKey()}"/>

其中，xxx表示你项目的地址，也就是你上面定义类的地址。

 

标签：kg,crypto,官方,密钥,key,import,Shiro
来源： https://www.cnblogs.com/longkui-site/p/15859456.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。