Apache Shiro反序列化漏洞修复

最新推荐文章于 2025-09-28 15:31:23 发布

原创最新推荐文章于 2025-09-28 15:31:23 发布 · 1k 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#扫漏 #shiro

本文介绍了一种修复Shiro框架中安全漏洞的方法：通过升级框架版本到1.7.1及更新版本，并自定义生成加密密钥来替代默认密钥。此方案已通过漏洞扫描验证有效。

一丶漏洞描述

在这里插入图片描述

二丶修复流程

1丶升级shiro框架为: 1.2.5 及以上

		<dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-spring</artifactId>
            <version>1.7.1</version>
        </dependency>

        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-ehcache</artifactId>
            <version>1.7.1</version>
        </dependency>

2丶删除默认秘钥, 使用自动生成的秘钥

	@Bean
    public CookieRememberMeManager getRememberManager() {
        CookieRememberMeManager meManager = new CookieRememberMeManager();
        AesCipherService cipherService = new AesCipherService();
        meManager.setCipherKey(cipherService.generateNewKey().getEncoded());
        meManager.setCookie(getRememberMeCookie());
        return meManager;
    }