shiro漏洞部分修复方法

最新推荐文章于 2025-09-28 15:31:23 发布
原创 最新推荐文章于 2025-09-28 15:31:23 发布 · 2.9k 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#安全 #web安全 #shiro

本文详细介绍了如何解决Shiro框架的反序列化漏洞，通过参考提供的博客链接，可以了解到具体的解决方案。同时，针对XSS攻击，文章提出了使用XssHttpServletRequestWrapperNew适配器进行防御，并提醒检查泰安系统的相关类，如未包含此类，则需添加并更新相关类以增强安全性。

1.shiro反序列化漏洞解决方案:
https://blog.youkuaiyun.com/ying_521125/article/details/109893850
2.Xss漏洞攻击:
在程序内配有java类XssHttpServletRequestWrapperNew适配器，确定泰安那边的是否有这个类，若没有则加上。这个类引用到的相关类也修改.(SessionFilter)

ghx123456ghx
关注
Apache Shiro 1.4.2 授权问题漏洞修复（CVE-2020-1957）
笑而不语的博客
11-04 3467
shiro 版本漏洞修复shiro 1.6.0 版本发布下载地址修复方法问题 shiro 1.6.0 版本发布 Apache Shiro 1.6.0 发布！修复绕过授权高危漏洞 目前厂商已发布升级补丁以修复漏洞，补丁获取链接： https://lists.apache.org/thread.html/rc64fb2336683feff3580c3c3a8b28e80525077621089641f2f386b63@%3Ccommits.camel.apache.org%3E 下载地址 1、官网下载地址：ht
【漏洞复现】 Shiro 反序列化漏洞
zkaqlaoniao的博客
11-09 4219
Apache Shiro是一款开源安全框架，提供身份验证、授权、密码学和会话管理。Shiro框架直观、易用，同时也能提供健壮的安全性。Apache Shiro 1.2.4及以前版本中，加密的用户信息序列化后存储在名为remember-me的Cookie中。攻击者可以使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令。该款工具特别适合初学者，配置了各种OA漏洞利用板块，还有shiro、struts2等框架漏洞的漏洞利用板块，还有一键执行命令的功能！！
《从 AES 密钥硬编码到 shell 反弹：Shiro CVE-2016-4437 漏洞全链路复现》
最新发布
我是网络安全兼技能大赛工程师，专注网络安全技术学习与技能大赛实战！持续分享最新的技术文章，帮你少走弯路，一起在技术赛道上进步～
09-28 1188
Apache Shiro是美国阿帕奇（Apache）软件基金会的一套用于执行认证、授权、加密和会话管理的Java安全框架。 Apache Shiro默认使用了CookieRememberMeManager，其处理cookie的流程是：得到rememberMe的cookie值 > Base64解码–>AES解密–>反序列化。然而AES的密钥是硬编码的，就导致了攻击者可以构造恶意数据造成反序列化的RCE漏洞。
【漏洞复现】Shiro 反序列化漏洞
2301_80115097的博客
11-08 2732
Apache Shiro是一款开源安全框架，提供身份验证、授权、密码学和会话管理。Shiro框架直观、易用，同时也能提供健壮的安全性。Apache Shiro 1.2.4及以前版本中，加密的用户信息序列化后存储在名为remember-me的Cookie中。攻击者可以使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令。该款工具特别适合初学者，配置了各种OA漏洞利用板块，还有shiro、struts2等框架漏洞的漏洞利用板块，还有一键执行命令的功能！！
shiro反序列化漏洞修复
m0_67394360的博客
03-28 986
文章目录 shiro反序列化漏洞修复 前言 解决方案 shiro反序列化漏洞修复 前言 最近项目在进行安全漏洞扫描的时候，出现一个shiro的反序列化漏洞的问题：目标IP站点存在Apache shiro 已知密钥泄露导致的远程代码执行漏洞。通过查找项目源码发现，在shiro的配置文件里，确实写死了一个秘钥，在开发环境的中不建议直接写死秘钥，大家要引以为戒！ 解决方案 后面通过源码分析，发现了shiro有自己的随机生成秘钥的方法。既然找到的方法，那就好说了，按照源码的方式新写一个秘钥生成器 pu
apache shiro 反序列化漏洞解决方案
qq_36407469的博客
07-27 6151
一、反序列化漏洞介绍 序列化：把对象转换为字符串或者字节流的过程。 反序列化：把字符串或者字节流恢复为对象的过程。 反序列化漏洞的产生原理，即黑客通过构造恶意的序列化数据，从而控制应用在反序列化过程中需要调用的类方法，最终实现任意方法调用。如果在这些方法中有命令执行的方法，黑客就可以在服务器上执行任意的命令。 二、产生原因 shiro提供了记住我（RememberMe）的功能，即可以在关闭浏览器的情况下，下次打开时还能记住你是谁，无需登录即可访问。 shiro默认使用了CookieRememberMeMa
高版本AES-GCM模式加密的Shiro漏洞利用1
08-03
高版本AES-GCM模式加密的Shiro漏洞利用1 高版本AES-GCM模式加密的Shiro漏洞利用1是指在Shiro框架中，使用高版本AES-GCM模式加密时出现的漏洞利用问题。Shiro框架在高版本中更换了加密算法，从AES-CBC换成了AES-GCM...
框架漏洞（2）shiro
m0_73399576的博客
05-28 1045
知识面，决定看到的攻击面有多广。知识链，决定发动的杀伤链有多深。
精选资源
Shiro反序列化漏洞检测工具
01-05
1. **升级Shiro版本**：确保Shiro框架的版本高于1.2.4，因为从1.2.5开始，Apache Shiro已经修复了这个反序列化漏洞。 2. **禁用不必要的序列化**：避免在不受信任的输入上进行反序列化，尤其是在处理网络数据时。 3....
Shiro-550漏洞详解及复现
m0_64481831的博客
03-07 3281
Shiro是Apache的一个强大且易用的Java安全框架，用于执行身份验证、授权、密码和会话管理。借助Shiro易于理解的API，用户可以快速轻松地保护任何应用程序----从最小的移动应用程序到最大的web和企业应用程序。Shiro是一个Java的安全框架，用于执行身份验证、授权、密码和会话验证。
精选资源
shiro 反序列化漏洞综合利用工具 shiro_attack_by J1anfen
11-05
Apache Shiro 是一个强大且易用的 Java 安全框架，提供身份认证、授权、加密..."shiro_attack_by J1anfen" 工具为安全研究人员和系统管理员提供了一种实用的方法来检测和修复这个问题，从而保护系统免受潜在的威胁。
shiro反序列化漏洞修复（使用随机密钥）
m0_67400973的博客
03-28 3246
说明：shiro低版本使用固定默认密钥，有被攻击的风险，可以升级shiro版本，Apache官方已在1.2.5及以上版本中修复此漏洞，但是此方式有依赖冲突的风险。这里说说不升级版本的解决方案，这方案和官方的方案一样，都是使用生成的随机密钥 1、创建随机生成密钥工具 public class GenerateCipherKey { /** * 随机生成秘钥，参考org.apache.shiro.crypto.AbstractSymmetricCipherService#generateNe
shiro反序列化漏洞分析、模拟攻击及修复（三）
热门推荐
婷子的博客
03-02 2万+
Shiro反序列化漏洞修复 上篇进行了shiro反序列化漏洞的模拟攻击，进行攻击后，由于很多时候我们的系统采用了shiro框架，因此需要对现有系统进行漏洞修复，下面针对不同类型的系统提出了不同的修复方案。 1、漏洞修复分析及方案 反序列化漏洞成因： rememberMe功能的AES密钥硬编码在代码中，造成密钥泄露。使得恶意攻击者可以利用系统在用户登录并勾选了“记住我”时所生成cookie的...
Shiro框架漏洞复现（附修复方法）
C233333235的博客
08-07 1098
Apache Shiro是一个强大易用的Java安全框架，提供了认证、授权、加密和会话管理等功能。Shiro框架直观、易用，同时也能提供健壮的安全性。在Shiro框架下，用户登陆成功后会生成一个经过加密的Cookie。其Cookie的Key的值为RememberMe，Value的值是经过序列化、AES加密和Base64编码后得到的结果。
Shiro反序列化漏洞检测及修复（工具分享）
weixin_46418540的博客
10-12 1万+
写在前面 这篇博文主要解决于一些朋友为了修复反序列化漏洞，根据某些帖子的内容升级了shiro版本，或者采用了随机生成key的方式后，不知道是否管用。特地写下一篇记录，分享一个检测工具。 我在之前项目中碰到了这个问题，由于shiro使用的版本是1.2.4，存在反序列化漏洞，我们采取的办法是手动升级到了1.2.6版本，但苦于无法验证是否解决了问题，后来发现了一款测试工具，ShiroExploit。 在此特别感谢其作者 feihong飞鸿。 下载地址 https://github.com/feihong-cs/S
Shiro 1.7.1安全漏洞修复包发布
本资源提到的"漏洞修补最新包"意味着这些jar文件中已经包含了对Shiro 1.7.1版本中已知漏洞的修复代码。开发者需要更新现有项目中的相关jar包，以确保应用程序的安全性。从文件名称列表中可以看出，修补包中包含了与...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值