温馨提示:使用若依时要注意的安全问题

服务器被人挖矿了 T-T

Posted by Autuan.Yu on May 4, 2021

生活总是让我们遍体鳞伤,但到后来,那些受伤的地方一定会变成我们最强壮的地方。

前一段时间,服务器被黑客挖矿了 T-T

后来经过排查,是因为管理后台使用的脚手架若依框架版本过老且未注意之前的安全漏洞造成的

小师傅到此一游

使用若依老版本的小伙伴们请注意,使用若依老版本的话,一定要注意:

ruoyi-framework/src/main/java/com/ruoyi/framework/config/ShiroConfig.java

Line 334 行的硬编码:

Base64.decode("fCq+/xW488hMTCD+cmJ3aQ==")

如果是新版本的话,请注意配置文件

ruoyi-admin/src/main/resources/application.yml

下的112行:

   cipherKey: zSyK5Kp6PZAAjlT+eeNMlg==

因安全漏洞问题,请务必要把对应的密钥改掉!

新版本的若依有提示如何生成新的密钥:

 # 设置密钥,务必保持唯一性(生成方式,直接拷贝到main运行即可)KeyGenerator keygen = KeyGenerator.getInstance("AES"); SecretKey deskey = keygen.generateKey(); System.out.println(Base64.encodeToString(deskey.getEncoded()));

参考地址:

[1] 国家信息安全漏洞(请务必保持cipherKey密钥唯一性) https://github.com/yangzongzhuan/RuoYi/commit/91986f13f89a2c709041f09a0803a79c5a90513a