shiro 550 反序列化攻击记录

最新推荐文章于 2025-11-01 18:09:44 发布
转载 最新推荐文章于 2025-11-01 18:09:44 发布 · 2.3k 阅读 · 1

本文分享了在遇到加密解密代码无法成功运行及jar包下载问题后，转而使用RememberMe的解决过程。深入分析了RememberMe的代码实现，为读者提供了另一种可行的技术方案。
Apache Shiro反序列化攻击技术剖析与防护研判分析
不忘初心，护天下安全！
08-11 1638
攻击者确可利用漏洞制造具有威胁的请求内容，防守者亦可利用默认的密钥和Gadget进行解密尝试，且一定可以解密成功，直接分析编码前的内容是否是渗透所用payload；攻击者使用Fuzzing测试的思路，直接制造无效的危险请求内容，防守者亦可利用默认的密钥和Gadget进行解密尝试，且一定可以解密成功，直接分析编码前的内容是否是渗透所用payload。尽管rememberMe字段参数值是一串AES加密后的结果，但因为攻击者利用的漏洞原理是“公开的算法+默认的密钥”，则以其之道还施彼身即可。...
getshell姿势(二)--反序列化
qq_45936617的博客
09-24 800
序列化是将对象转换为字符串以便存储传输的一种方式。而反序列化恰好就是序列化的逆过程,反序列化会将字符串转换为对象供程序使用。当程序在进行反序列化时，会自动调用一些函数，但是如果传入函数的参数可以被用户控制的话，用户可以输入一些恶意代码到函数中，从而导致反序列化漏洞。常见的反序列化有php的函数（serialize、unserialize）、shiro反序列化漏洞等。
shiro-550反序列化漏洞
weixin_66717977的博客
03-21 1533
基于docker的shrio反序列化漏洞复现
Shiro-550 漏洞分析
whojoe的博客
06-06 3039
Shiro 550 漏洞学习漏洞原理环境搭建本地环境远程tomcatidea本地tomcat 漏洞原理 在 Shiro <= 1.2.4 中，AES 加密算法的key是硬编码在源码中，当我们勾选remember me 的时候 shiro 会将我们的 cookie 信息序列化并且加密存储在 Cookie 的 rememberMe字段中，这样在下次请求时会读取 Cookie 中的 rememberMe字段并且进行解密然后反序列化 由于 AES 加密是对称式加密（Key 既能加密数据也能解密数据），所以当我
Shiro 反序列化
最新发布
2502_91116367的博客
11-01 1020
摘要 本文详细分析了Apache Shiro 1.2.4及以下版本的反序列化漏洞（Shiro-550）。该漏洞源于RememberMe功能的AES加密机制存在缺陷：加密密钥硬编码为"kPH+bIxk5D2deZiIxcaaaA=="，且未对反序列化进行安全过滤。攻击者可构造恶意Cookie，通过AES-CBC加密伪造序列化数据，最终触发ObjectInputStream.readObject()导致RCE。文章还提供了完整的漏洞环境搭建方法（JDK8u65+Tomcat8+Shiro1.
Shiro550漏洞分析
！
12-04 396
Shiro550漏洞分析 环境 JDK8 shiro1.2.4 commons-collections-3.2.1 漏洞原理 Shiro安全框架登录时提供记住我功能，当登录时开启记住我功能时返回包会携带一个Cookie字段，键为rememberMe，下次登陆的时候携带返回包的Cookie进行，服务器端会把这个Cookie进行解码后反序列化。 客户端用rememberMe功能时，服务器端会把Cookie数据进行序列化，然后进行AES加密，再Base64编码，最后以rememberMe为键返回给客户端。 当客户
【Java反序列化】Shiro-550漏洞分析笔记
网络安全从业者的学习笔记
01-29 2893
ShiroAES加密-->Base64加密的过程，接收后会进行Base64解密-->AES解密-->反序列化进行验证身份信息。漏洞点在于AES加密为对称加密，而加密时利用的key为固定值，这就导致，我们可以生成一条恶意的payload，进而达到RCE的目的。
shiro反序列化漏洞学习（工具+原理+复现）
热门推荐
qq_49849300的博客
03-10 1万+
由于shiro反序列化需要用到AES加密，而该加密方法的密钥是加解密一致的，所以我们使用shiro反序列化时，AES加密的密钥必须跟服务器一致，所以经常需要盲猜服务器的密钥，好在java开发们一般都不会去修改它，而且常常直接copy论坛和github上的代码，所以可以大量收集各种密钥，然后遍历来完成反序列化漏洞利用。反过来，把字节序列（json/xml）恢复为Java对象的过程就叫反序列化。"方法，Base64.decode()中的字符串就是shiro的密钥，要确保该密钥的安全性，千万不要使用公开的密钥。
09-一次Shiro反序列化引起的域控沦陷.pdf
09-20
【标题】：Shiro反序列化引起的域控沦陷分析 【描述】：本文记录了一次利用Shiro反序列化漏洞导致的域控沦陷实战经历，深入探讨了渗透过程和漏洞利用细节。 【标签】：互联网 【知识点】： 1. Shiro框架：Apache...
Apache Shiro反序列化漏洞研究及解决方法
技术点滴
04-02 1万+
前言 一个阳光明媚的午休，我正惬意的喝着茶听着音乐，享受美好生活的时候，客户的QQ头像闪动了，原以为是出了什么新需求临时需要调整，没想到客户反馈的是平台出现了严重漏洞，不敢小视，抄起电脑开弄 我根据客户给出的安全厂商反馈的问题，总结如下： 1，Shiro反序列化漏洞 2，提到了dnslog.cn平台 了解Shiro反序列化漏洞 参考官方的JIRA文档记录，https://issues....
红队专题-漏洞挖掘-代码审计-反序列化
aming小老弟
04-21 2203
TransformedMap⽤于对Java标准数据结构Map做⼀个修饰，被修饰过的Map在添加新的元素时，将可以执⾏⼀个回调。super(map);
Shiro反序列化漏洞检测工具
01-05
Shiro1.2.4及以下版本存在反序列化漏洞，该工具用于测试该漏洞。
shiro反序列化漏洞利用工具
11-09
图形化界面，该工具支持漏洞检测，请勿用作非法途径，否则后果自负。 Shiro550无需提供rememberMe Cookie，Shiro721需要提供一个有效的rememberMe Cookie 可以手工指定特定的 Key/Gadget/EchoType（支持多选），如果不指定会遍历所有的 Key/Gadget/EchoType 复杂Http请求支持直接粘贴数据包 pic1
shiro 反序列化漏洞综合利用工具 shiro_attack_by J1anfen
11-05
shiro 反序列化漏洞综合利用工具 shiro_attack_by J1anfen，里面的 jar 直接运行即可，用于 shiro 漏洞检测、修复验证等
shiro反序列化漏洞暴力破解漏洞检测工具
09-14
文件内包含内容如下： 1.shiro反序列化漏洞、暴力破解漏洞检测工具源码 2.shiro反序列化漏洞、暴力破解漏洞检测工具jar包 3.shiro反序列化漏洞、暴力破解漏洞检测工具启动方法 4.shiro反序列化漏洞、暴力破解漏洞检测工具使用方法 5.shiro反序列化漏洞、暴力破解漏洞修改方法
Java反序列化漏洞利用工具（全）
09-14
java反序列化漏洞利用工具包含jboss|weblogic，网上其实有很多，但是用别人的工具收30分是不是有点不厚道，所以我用自己的分下载下来，然后以最低分贡献给大家，上次没有审核通过，希望这次可以……
Shiro-550漏洞详解及复现
m0_64481831的博客
03-07 3283
Shiro是Apache的一个强大且易用的Java安全框架，用于执行身份验证、授权、密码和会话管理。借助Shiro易于理解的API，用户可以快速轻松地保护任何应用程序----从最小的移动应用程序到最大的web和企业应用程序。Shiro是一个Java的安全框架，用于执行身份验证、授权、密码和会话验证。
深入浅出带你学习shiro-550漏洞
军火库
02-16 498
简单带大家总结了一下shiro550反序列化漏洞，不知道大家学习的怎么样了，简单来看shiro框架命令执行的的执行流程可以简单概括为：命令=>序列化=>AES加密=>base64编码=>RememberMe Cookie值，我们根据上面源码的分析以及它硬编码的特性，便可以进行攻击，当然这只是最简单的利用，我们也可以结合其他利用链来构造攻击链接，有兴趣的小伙伴可以自己去尝试一下。
Apache Shiro-550 反序列化漏洞简单分析复现（CVE-2016-4437）
panda的博客
04-12 3834
shiro-550 反序列化漏洞简单分析复现
评论 1
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值