Goby漏洞更新 | OneBlog Shiro 反序列化漏洞

漏洞名称：OneBlog Shiro 反序列化漏洞

English Name：OneBlog Shiro Deserialization Vulnerability

漏洞描述：

OneBlog 是一个简洁美观、功能强大并且自适应的Java博客。使用springboot开发，前端使用Bootstrap。支持移动端自适应，配有完备的前台和后台管理功能。OneBlog v2.2.2 及之前的版本存在 shiro 反序列化漏洞，该漏洞源于软件存在硬编码的 shiro-key，攻击者可利用该 key 生成恶意的序列化数据，在服务器上执行任意代码，执行系统命令、或打入内存马等，获取服务器权限。

漏洞影响：

OneBlog v2.2.2 及之前的版本存在 shiro 反序列化漏洞，该漏洞源于软件存在硬编码的 shiro-key，攻击者可利用该 key 生成恶意的序列化数据，在服务器上执行任意代码，执行系统命令、或打入内存马等，获取服务器权限。

FOFA查询语句（点击直接查看结果）：

body=“/assets/js/zhyd.tool.js” || body="content=“OneBlog,开源博客” || body=“Powered by <a href=“https://gitee.com/yadong.zhang/DBlog””

此漏洞已可在Goby漏扫/红队版进行扫描验证

免费获取Goby：Goby社区版免费下载

查看Goby更多漏洞：Goby历史漏洞合集

关注Goby公众号获取最新动态：Gobysec