如何取出一個罐子？

Question

有沒有一種方法來取消簽名java jar文件？我在我的開發環境中嘗試使用一些簽名的jar，但是我得到了安全性異常，所以我想要對這些jar進行取消簽名，並且稍後可以在準備部署時簽署它們。

Answer 1

我不知道答案，但這裏是我會做什麼：

1. 解壓有問題的jar文件或文件（罐子只是拉鍊）
2. 看在META-INF目錄對於那些不是MANIFEST-MF的東西。
3. 刪除那些東西。
4. 打開MANIFEST-MF並刪除看起來像簽名相關的東西。
5. rejar。

Answer 2

如果罐子是由您開發的，那麼它們可以被信任，您可能不需要簽名。但是，如果您從外部獲得它們，則應該在使用它之前調查安全異常的原因。

Answer 3

我成功地驗證了DwB的答案，並做了小的修改：由於Is there a quick way to delete a file from a Jar/war without having to extract the jar and recreate it?指出，僅僅從jar工具中刪除是不可能的。我只需要對專有構建腳本進行一些小修改，但我不想整個jar。

我意識到unsign是可能的，當我只做重要的.RSA文件零大小。這隻能jar u命令來完成：

cd %JAR_DIR% 
jar xvf myapp.jar META-INF/MYAPP.RSA 
type nul > META-INF/MYAPP.RSA 
jar uvf myapp.jar META-INF/MYAPP.RSA 
rmdir /S/Q META-INF 

Answer 4

要從JAR文件中刪除簽名，從中取出META-INF目錄。一個JAR文件是一個zip文件，以便在Linux上，你可以這樣做：

zip -d file.jar 'META-INF/*.SF' 'META-INF/*.RSA' 

如果你有很多的jar文件unsign，在當前目錄及以下每個jar文件下面的命令執行此：

find . -name '*.jar' -exec zip -d '{}' 'META-INF/*.SF' 'META-INF/*.RSA' ';' 

Answer 5

我看到一個答案已經被接受，但我認爲這可能是有用的反正：

我已經熟了的東西（部分來自其他職位）自動執行任務。
附帶沒有任何擔保，但它適用於我:)
複製Jar文件，同時刪除簽名信息。
注意，MANIFEST只剩下MAIN部分！

使用javac JarUnsigner.java創建.class文件
使用java -cp <class dir> JarUnsigner <inJar> <outJar>

import java.io.BufferedReader; 
import java.io.File; 
import java.io.FileOutputStream; 
import java.io.IOException; 
import java.io.InputStream; 
import java.io.InputStreamReader; 
import java.util.Enumeration; 
import java.util.zip.ZipEntry; 
import java.util.zip.ZipFile; 
import java.util.zip.ZipOutputStream; 

public class JarUnsigner { 

    private static final String MANIFEST = "META-INF/MANIFEST.MF"; 

    public static void main(String[] args){ 

    if (args.length!=2){ 
     System.out.println("Arguments: <infile.jar> <outfile.jar>"); 
     System.exit(1); 
    } 
    String infile = args[0]; 
    String outfile = args[1]; 
    if ((new File(outfile)).exists()){ 
     System.out.println("Output file already exists:" + outfile); 
     System.exit(1); 
    } 
    try{ 
     ZipFile zipFile = new ZipFile(infile); 
     final ZipOutputStream zos = new ZipOutputStream(new FileOutputStream(outfile)); 
     for (Enumeration e = zipFile.entries(); e.hasMoreElements();) { 
     ZipEntry entryIn = (ZipEntry) e.nextElement(); 

     if (! exclude_file(entryIn.getName())) { 

      /* copy the entry as-is */ 
      zos.putNextEntry(new ZipEntry(entryIn.getName())); 
      InputStream is = zipFile.getInputStream(entryIn); 
      byte[] buf = new byte[1024]; 
      int len; 
      while ((len = (is.read(buf))) > 0) { 
      zos.write(buf, 0, len); 
      } 
      zos.closeEntry(); 

     } else { 

      if (MANIFEST.equals(entryIn.getName())){ 
      /* if MANIFEST, adjust the entry */ 
      zos.putNextEntry(new ZipEntry(MANIFEST)); 

      // manifest entries until first empty line. i.e. the 'MainAttributes' section 
      // (this method is used so to keep the formatting exactly the same) 
      InputStream mIS = zipFile.getInputStream(entryIn); 
      BufferedReader in = new BufferedReader(new InputStreamReader(mIS)); 
      String line = in.readLine(); 
      byte[] mNL = "\n".getBytes("UTF-8"); 
      while(line != null && !line.trim().isEmpty()) { 
       zos.write(line.getBytes("UTF-8")); 
       zos.write(mNL); 
       line = in.readLine(); 
      } 
      zos.write(mNL); 
      zos.closeEntry(); 

      }else{ 
      /* else: Leave out the Signature files */ 
      } 

     } 

     } 
     zos.close(); 
     System.out.println("Successfully unsigned " + outfile); 

    }catch(IOException ex){ 
     System.err.println("Error for file: " + infile); 
     ex.printStackTrace(); 
     System.exit(1); 
    } 
    } 

    /** 
    * Exclude .SF signature file 
    * Exclude .RSA and DSA (signed version of .SF file) 
    * Exclude SIG- files (unknown sign types for signed .SF file) 
    * Exclude Manifest file 
    * @param filename 
    * @return 
    */ 
    public static boolean exclude_file(String filename){ 
    return filename.equals("META-INF/MANIFEST.MF") || 
      filename.startsWith("META-INF/SIG-") || 
      filename.startsWith("META-INF/") && (filename.endsWith(".SF") || filename.endsWith(".RSA") || filename.endsWith(".DSA")); 
    } 

} 

在ANT使用unsign一堆罐子如下：

<apply executable="java" dest="${output-dir}"> 
    <arg value="-cp" /> 
    <arg value="${dev-dir}" /> 
    <arg value="JarUnsigner" /> 
    <srcfile/> 
    <targetfile/> 
    <fileset dir="${input-dir}" includes="*.jar"/> 
    <mapper type="glob" from="*.jar" to="*.jar"/> <!-- uses "dest"--> 
</apply> 

Answer 6

如果你看一下jarsigner工具和它做了什麼，它會產生3件事： 1）.SF文件（簽名文件） 2）基於使用的算法（例如.RSA，.DSA等）的簽名塊文件）修改或創建MANIFEST。MF文件

摘要： 要「取消簽名jar」只需刪除前2個文件（.sf和.dsa/rsa FILE）。 要麼刪除MANIFEST.MF文件，要麼將其打開並刪除列出的每個.hes和列出的其他文件的所有哈希）。因此，如果您刪除META-INF目錄中的所有內容，則可能會刪除可能需要的其他jar資源（即屬性文件等）。這種刪除「看上去簽名相關」的所有內容的「霰彈槍方法」是有害的，並且不遵循以下原則：第一，不傷害（對你的.jar）。

在這裏看到： https://docs.oracle.com/javase/8/docs/technotes/tools/windows/jarsigner.html

https://docs.oracle.com/javase/tutorial/deployment/jar/intro.html

理解簽名和驗證

」 ......當您註冊一個JAR文件你的公鑰被放置在歸檔中連同相關的證書，以便它很容易供任何想要驗證您的簽名的人使用。... 摘要和簽名文件

當您簽署JAR文件時，歸檔文件中的每個文件都會在歸檔文件清單中獲得一個摘要條目。以下是對這樣的記錄是這樣一個例子：

名稱：測試/班/ ClassOne.class SHA1-摘要：TD1GZt8G11dXY2p4olSZPc5Rj64 =

當一個JAR文件進行簽名，將自動生成一個簽名文件和放置在JAR文件的META-INF目錄中，該目錄包含存檔清單的相同目錄。簽名文件具有擴展名爲.SF的文件名。

簽名塊文件

除了簽名文件，當一個JAR文件進行簽名的簽名塊文件被自動放置在META-INF目錄下。與清單文件或簽名文件不同，簽名塊文件不可讀。

簽名塊文件中包含覈查必不可少兩個元素：

爲與生成JAR文件的數字簽名，簽名者的私鑰 由任何人想要使用含有簽名者的公鑰證書驗證已簽名的JAR文件 簽名塊文件名通常會有一個.DSA擴展名，指明它們是由默認數字簽名算法創建的。如果使用與某些其他標準算法相關的密鑰進行簽名，則可以使用其他文件擴展名。