Shiro使用官方方法生成密钥
0.前言
平台漏洞扫描,扫描到一堆安全问题,其中有个关于Shiro的。主要是说如果项目中shiro key为默认密钥或者网络公开密钥,就可以轻易的导致远程代码执行。
本文框架SSM+shiro。
1.解决思路
(1)升级Shiro版本,为1.7.0以上
(2)自定义一个base 64 AES密钥
(3)使用官方生成的方法提供密钥
本文选择的是第三种办法:
我们在shrio新建一个类。参照下面的代码进行添加:
import javax.crypto.KeyGenerator;
import javax.crypto.SecretKey;
import java.security.NoSuchAlgorithmException;
public class GenerateCipherKey {
/** * 随机生成秘钥,参考org.apache.shiro.crypto.AbstractSymmetricCipherService#generateNewKey(int) * @return */
public static byte[] generateNewKey() {
KeyGenerator kg;
try {
kg = KeyGenerator.getInstance("AES");
} catch (NoSuchAlgorithmException e) {
String msg="this is required to function!";
throw new IllegalStateException(msg, e);
}
kg.init(128);
SecretKey key = kg.generateKey();
byte[] encoded = key.getEncoded();
return encoded;
}
}
然后在spring-shrio.xml找到remembermeManager。添加如下代码:
<property name="cipherKey" value="#{T(com.xxxxxx.xxxxx.shiro.GenerateCipherKey).generateNewKey()}"/>
其中,xxx表示你项目的地址,也就是你上面定义类的地址。