vulhub漏洞—shiro框架

最新推荐文章于 2024-04-19 12:00:00 发布
最新推荐文章于 2024-04-19 12:00:00 发布
阅读量201 收藏
点赞数
分类专栏： java 文章标签： java 后端
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_67391907/article/details/124457135
版权

shiro框架反序列化rce 利用工具一把梭

使用漏扫工具Xary

xray_windows_amd64.exe webscan --url http://xxx/ --html-output 125.html

发现是shiro框架漏洞

使用工具一把梭，工具在github上自行下载

RCE

m0_67391907
关注
专栏目录
[ vulhub漏洞复现篇 ] Apache Shiro 认证绕过漏洞（CVE-2020-1957）
qq_51577576的博客
08-17 1104
👨‍🎓 博主介绍：大家好，我是，很高兴认识大家~✨主攻领域：【渗透领域】【数据通信】 【通讯安全】 【web安全】【面试分析】🎉欢迎关注💗一起学习👍一起讨论⭐️一起进步📝文末有彩蛋🙏作者水平有限，欢迎各位大佬指点，相互学习进步！...
Apahce-Shiro反序列化漏洞复现（CVE-2016-4437）
weixin_45805993的博客
09-28 1673
复现环境:vulhub 漏洞原理 Apache Shiro框架提供了记住我（RememberMe）的功能，关闭了浏览器下次再打开时还是能记住你是谁，下次访问时无需再登录即可访问。 Shiro对rememberMe的cookie做了加密处理，shiro在CookieRememberMeManaer类中将cookie中rememberMe字段内容分别进行序列化、AES加密、Base64编码操作。 在识别身份的时候，需要对Cookie里的rememberMe字段解密。根据加密的顺序，不难知道解密的顺序为 获取re
[vulhub]shiro
haoaaao的博客
05-01 622
0x00CVE-2016-4437（rememberme） 1、简介 Apache Shiro是一款开源安全框架，提供身份验证、授权、密码学和会话管理。Shiro框架直观、易用，同时也能提供健壮的安全性。 Apache Shiro 1.2.4及以前版本中，加密的用户信息序列化后存储在名为remember-me的Cookie中。攻击者可以使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令。 ———————————————— https:...
2020年8月17日,Apache Shiro框架漏洞
web15185420056的博客
03-31 175
昨日,Apache团队发布了一则公告: 可以看到,在1.6之前的版本会被特定的http请求导致身份验证绕过,解决办法为升级到1.6之后的版本. Apache Shiro发布1.6.0版本修复该漏洞绕过。建议使用该框架的产品尽快采取措施阻止漏洞攻击。 影响版本：Apache Shiro < 1.6.0 安全版本：Apache Shiro >= 1.6.0 相关链接：https://lists.apache.org/thread.html/r539f87706094e79c5da082603038
Vulhub之Shiro篇
weixin_56306210的博客
08-21 274
Vulhub之Shiro篇
【安全攻防实验-3】Vulhub练习-shiro
qq_26579613的博客
02-08 950
1、打开测试环境 cd /安装目录/vulmaster/shiro/CVE-2016-4437 #查看测试说明 more READ.md 打开测试环境 docker-compose up -d 2、使用渗透工具练习 使用shiro-tool获取了root权限 3、关闭测试环境 docker-compose down ...
vulhub漏洞复现 Apache Shiro 1.2.4反序列化漏洞 Apache Shiro 认证绕过漏洞
记录笔记
04-13 1448
vulhub漏洞复现 Apache Shiro 1.2.4反序列化漏洞 Apache Shiro 认证绕过漏洞 shiro反序列化漏洞有何特征？如何防御shiro反序列化漏洞 Apache Shiro框架提供了记住我的功能（RememberMe），用户登陆成功后会生成经过加密并编码的cookie，在服务端接收cookie值后，Base64解码–>AES解密–>反序列化。攻击者只要找到AES加密的密钥，就可以构造一个恶意对象，对其进行序列化–>AES加密–>Base64编
shiro550漏洞复现与分析
Re_ly0n的博客
05-12 738
远程调试环境 本地搭建环境有点麻烦，索性就直接起docker，然后远程调试。进入vulnhub启动docker环境，使用exec命令进入容器 查看进程发现存在漏洞环境的jar包，docker cp 打包到本地使用jar -xvf XXX.jar解压jar包，解压完成的目录结构 将shirodemo-1.0-SNAPSHOT.jar包添加到libraries 再将BOOT-INF添加到Modules中 紧接着修改下dockerfile,如下 version: '2' serv
第03篇：Shiro 反序列化漏洞利用汇总1
08-03
这个漏洞源于Shiro框架在处理RememberMe功能时的安全缺陷。RememberMe允许用户在退出系统后仍能保持登录状态。当用户选择RememberMe时，Shiro会生成一个加密且编码的cookie存储在客户端。在服务器端，这个cookie会...
vulhub——shiro反序列化getshell漏洞复现
web17535224648的博客
08-26 1265
Apache Shiro是一款开源安全框架，提供身份验证、授权、密码学和会话管理。Shiro框架直观、易用，同时也能提供健壮的安全性。Apache Shiro 1.2.4及以前版本中，加密的用户信息序列化后存储在名为remember-me的Cookie中。攻击者可以使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令。...
【vulhub】shiro反序列化漏洞工具复现（CVE-2016-4437）
qq_45300786的博客
04-22 1127
详细过程可以看我的这篇文章 Apache Shiro Java反序列化漏洞 这次我就直接用工作来复现 工具地址https://github.com/feihong-cs/ShiroExploit-Deprecated/releases/tag/v2.3 shiro的端口是8080 默认 然后等一会，解密 监听端口 然后反弹shell 反弹成功 参考文章 https://vlambda.com/wz_7iadhz3GfNo.html ...
vulhub漏洞复现62_Shiro
weixin_44193247的博客
02-12 366
vulhub漏洞复现练习篇
vulhub复现之shiro反序列化漏洞复现
m0_70483044的博客
10-06 1268
shiro是功能强大且容易使用的java安全框架。shiro可以非常容易开发出足够好的应用。​shiro可以帮助我们完成：认证.授权.加密.会话管理等​Shiro有着很好的通用性，不局限于Web 环境，但在Web 环境下一些特定的需求需要手动编写代码定制，有一定的代码侵入。​-shiro核心架构​安全框架就是解决系统安全问题的框架，如果没有安全框架，我们需要手动处理每个资源的访问控制，比较繁琐。使用安全框架，可以通过配置的方式实现对资源的访问限制。​。
【网络安全---漏洞复现】shiro550反序列化漏洞原理与漏洞复现和利用（基于vulhub，保姆级的详细教程）
m0_67844671的博客
09-21 5255
shiro550反序列化漏洞原理与漏洞复现和利用（基于vulhub，保姆级的详细教程）；Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序；
vulhub靶场框架漏洞复现手册（strusts2\shiro\weblogic）附工具链接
zwy15288408160的博客
12-15 1682
工具+手工复现vulhub靶场下的框架漏洞，包括struts2远程代码执行(2-029,s2-061，s2-001),shiro反序列化漏洞（CVE-2016-4437）,weblogic反序列化漏洞（CVE-2017-10271,CVE-2018-2628,CVE-2018-2894,CVE-2020-14882,ssrf,weak-password）。持续更新中...持续更新中...
shiro550反序列化漏洞原理与漏洞复现（基于vulhub，保姆级的详细教程）
最新发布
xnxqwzy的博客
04-19 1532
如何判断我的服务器是否受到了针对shiro550漏洞的攻击？检查日志：查看系统的日志文件，看是否有异常的访问记录或登录失败记录，如果发现了异常，可以进一步分析该记录是否与Shiro550漏洞有关。检查系统状态：检查系统是否存在异常状态，如系统崩溃、服务宕机等，这可能是攻击者利用Shiro550漏洞进行攻击导致的。检查用户行为：检查是否有用户在短时间内多次尝试登录或者进行异常操作，这可能是攻击者正在利用Shiro550漏洞尝试获取系统权限。
shiro框架历史漏洞
08-21
shiro框架存在的历史漏洞包括反序列化漏洞和权限绕过漏洞。其中，反序列化漏洞是指通过在登录框中输入特定信息触发的漏洞，具体表现为返回的数据包中存在set-Cookie字段的remenberme=deleteme值，这是shiro反序列化...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值