Shiro反序列化漏洞,Shiro版本升级资源
shiro使用的版本是1.2.4,存在反序列化漏洞,我们采取的办法是手动升级到了1.2.6版本,但苦于无法验证是否解决了问题,后来发现了一款测试工具,ShiroExploit。
测试工具下载地址
https://github.com/feihong-cs/ShiroExploit_GUI/releases
反序列化漏洞是如何产生的?
shiro版本<=1.2.4时,其参数remeberMe存在硬编码,它对于cookie的处理流程是,首先获取rememberMe的cookie值,然后进行Base64解码,再进行AES解密,最后反序列化。但在这个过程中,其AES的Key硬编码,导致反序列化漏洞的产生。(参考http://www.secwk.com/2019/09/18/2818/)
反序列化漏洞解决思路
从上面我们了解到,反序列化漏洞主要是由于硬编码引起的,那么只要解决硬编码,就解决了该漏洞。解决硬编码主要有两种方式:
方法一:自行实现key值
方法二:升级到1.2.5版本或以上
那么在我的项目中,选择的是升级版本到1.2.6。大家有同样问题的可以选择试一下希望大家也能像我一样解决;
GeoLite2/GeoIP 全球国家的IP离线定位库 2022最新版数据库 【mmdb】
该包为GeoLite2于2022年更新的全球国家的ip离线库,解压可直接使用。本文件为官方原版,未经任何修改,请放心使用。
GeoLite2/GeoIP 全球ASN-IP离线定位库 2022年最新版 (CSV版)
该包为GeoLite2 于2022年更新的全球ASN格式ip离线库,解压可直接使用。本文件为官方原版,未经任何修改。
GeoLite2/GeoIP 全球ASN-IP离线定位库 2022年最新版数据库 【mmdb】
该包为GeoLite2 于2022年更新的全球ASN格式ip离线库,解压可直接使用。本文件为官方原版,未经任何修改。
仿百度文库或豆丁网源码(Net)
鉴于有朋友需要.Net 版 特地整理了一份。。请自行下载安装flashpaper工具,绿色版也可以。。
本系统参考百度文库和豆丁网等网站实现的在线文档库系统,主要提供了一种功能,即在线查看doc、xls、ppt等office格式文档;用户上传的文档无需下载就可以在线查看了,同时用户本地无需安装office软件,真的是非常方便。它的工作原理是先用Flashpaper软件把ppt、word、excel、txt等ms office格式文档转换成pdf,然后用通过Flashplay实现在线播放;而这个过程并无需在客户端安装WORD、PDF等office办公软件环境的支持。
仿百度文库或豆丁网源码
附件是myeclipse开发的整个工程,包含源码和数据库表结构(已运行在tomcat+oracle上,其它数据库自己修改配置),另外项目相关openOffice、swftools的安装软件请自行到网上下载;
本系统参考百度文库和豆丁网等网站实现的在线文档库系统,主要提供了一种功能,即在线查看doc、xls、ppt等office格式文档;用户上传的文档无需下载就可以在线查看了,同时用户本地无需安装office软件,真的是非常方便。它的工作原理是先用openOffice软件把ppt、word、excel、txt等ms office格式文档转换成pdf,然后用swftools软件转换成swf,最后通过FlexPaper实现在线播放;而这个过程并无需在客户端安装WORD、PDF等office办公软件环境的支持。
ext 2例子(内附ext-all.css, ext-base.js, ext-all.js三个不可少文件)
ext 是 ExtJs 的简称,是一个强大的js 类库。本资源主要包括三个大的文件ext-all.css,ext-base.js,ext-al.js。在引用ext 类库的时候,这三个文件必不可少。另外我还提供了ext2的一个简单例子,以便大家学习交流。
Jquery 解决IE6 Select 框总是在图层(div)的上面显示的BUG
利用Jquery解决IE6下,Select的Z-index过高的BUG
经常有朋友下拉菜单被Select遮盖。可以用此方法解决!
PHP API操作手册(二)中文版
PHP API操作手册,PHP开发人员必备。。。
本手册为中文版,另有英文版可以索取。。。
因文件过大,分成上下部了。
PHP API操作手册(一),中文版
PHP API操作手册,PHP开发人员必备。。。
本手册为中文版,另有英文版可以索取。。。
因文件过大,分成上下部了。
不管新手,老手都用得着,绝对物超所值。。。。
asp.net与sql server存储过程+增删改查对存储过程的操作全过程
asp.net通过sql server存储过程来实现增删改查...
对存储过程的操作全过程
网银在线支付接口程序
网银在线支付接口程序,带MD5文件,如果不放心,可以自行去 chianbank下载吧,确对好用,所有代码简洁明了,并添加过注解,一看就懂,物超所值。。。