低版本shiro反序列化漏洞解决

最新推荐文章于 2024-08-07 19:51:54 发布
最新推荐文章于 2024-08-07 19:51:54 发布
阅读量346 收藏 1
点赞数
文章标签： java 前端 apache
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/nesodic/article/details/130580133
版权

老版本ssm项目：jdk1.7，tomcat7，shiro1.2.4，spring3.2

解决办法：

1、shiro替换：先将之前的shiro相关jar包删除。然后引入shiro-all-1.7.1.jar。同时，必须引入另外一个依赖包 encoder-1.2.2.jar。

2、tomcat替换：用tomcat8替换tomcat7

3、jdk替换：用jdk8替换jdk7

4、spring替换：用spring4替换spring3.2

nesodic
关注
Shiro1.2.4反序列化漏洞复现(Shiro550，CVE-2016-4437)
谢公子的博客
09-09 7655
Apache Shiro是一个强大且易用的Java安全框架，执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API,可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。它编号为550的 issue 中爆出了严重的 Java 反序列化漏洞。 漏洞影响版本：Apache Shiro 1.2.4 Shiro反序列化特征：在返回包的 Set-Cookie 中...
shiro升级到shiro-1.7.1
zhuimenghou的博客
07-20 3046
1、ssm项目中，先将之前的shiro相关jar包删除。然后引入shiro-all-1.7.1.jar。同时，必须引入另外一个依赖包 encoder-1.2.2.jar。否则项目运行的时候会报错org/owasp/encoder/Encode或者是org.owasp.encoder.Encode 2、encoder-1.2.2.jar的下载地址 https://mvnrepository.com/artifact/org.owasp.encoder/encoder/1.2.2 3、shiro-all-1.7
Shiro框架漏洞复现（附修复方法）
最新发布
C233333235的博客
08-07 583
Apache Shiro是一个强大易用的Java安全框架，提供了认证、授权、加密和会话管理等功能。Shiro框架直观、易用，同时也能提供健壮的安全性。在Shiro框架下，用户登陆成功后会生成一个经过加密的Cookie。其Cookie的Key的值为RememberMe，Value的值是经过序列化、AES加密和Base64编码后得到的结果。
shiro反序列化漏洞修复
小斐的专栏
03-01 319
shiro反序列化漏洞修复
Apache Shiro反序列化漏洞研究及解决方法
segegefe的博客
09-01 2496
一个阳光明媚的午休，我正惬意的喝着茶听着音乐，享受美好生活的时候，客户的QQ头像闪动了，原以为是出了什么新需求临时需要调整，没想到客户反馈的是平台出现了严重漏洞，不敢小视，抄起电脑开弄我根据客户给出的安全厂商反馈的问题，总结如下：1，Shiro反序列化漏洞2，提到了dnslog.cn平台。...
shiro权限绕过漏洞
m0_67392931的博客
08-30 1312
该漏洞可以用以下方法复现，首先在spring-context-shiro.xml中，配置 /hello/* = authc;Apahce Shiro 由于处理身份验证请求时出错，存在“权限绕过漏洞”（漏洞编号：CVE-2020-11989），远程攻击者可以发送特制的HTTP请求，绕过身份验证过程，并获得对应用程序的未授权访问。(2)删除shiro开头的jar包，集成单点登录的shiro-cas 不用删。注意：ant风格的路径仅出现一个*时才能成功，而**无法绕过。这里可以通过url双编码的方式或地址栏加;.
shiro 反序列化漏洞综合利用工具 shiro_attack_by J1anfen
11-05
在提到的 "shiro_attack_by J1anfen" 工具中，重点是针对 Apache Shiro 的一个特定安全问题：反序列化漏洞。 反序列化漏洞通常出现在程序中，当接收到从网络或持久存储中读取的数据，并将其转换回原来的对象实例时...
shiro反序列化漏洞暴力破解漏洞检测工具
09-14
1.shiro反序列化漏洞、暴力破解漏洞检测工具源码 2.shiro反序列化漏洞、暴力破解漏洞检测工具jar包 3.shiro反序列化漏洞、暴力破解漏洞检测工具启动方法 4.shiro反序列化漏洞、暴力破解漏洞检测工具使用方法 5.shiro...
Shiro反序列化漏洞检测工具
01-05
Apache Shiro是一款强大的Java安全框架，它为...通过了解Shiro反序列化漏洞的原理和防范措施，我们可以更好地保护我们的系统免受此类攻击。同时，使用提供的检测工具进行定期扫描，也能及时发现并修复潜在的安全隐患。
shiro反序列化漏洞利用工具
11-09
图形化界面，该工具支持漏洞检测，请勿用作非法途径，否则后果自负。 Shiro550无需提供rememberMe Cookie，Shiro721需要提供一个有效的rememberMe Cookie 可以手工指定特定的 Key/Gadget/EchoType（支持多选），如果...
shiro 1.2.3
09-28
shiro-all-1.2.3.jar shiro-aspectj-1.2.3.jar shiro-cas-1.2.3.jar shiro-core-1.2.3.jar shiro-ehcache-1.2.3.jar shiro-guice-1.2.3.jar shiro-quartz-1.2.3.jar shiro-spring-1.2.3.jar shiro-tools-hasher-1.2.3-cli.jar shiro-web-1.2.3.jar
人工智能-项目实践-检测-Apache Shiro 反序列化漏洞检测与利用工具.zip
12-23
Shiro_exploit用于检测与利用Apache Shiro反序列化漏洞脚本。可以帮助企业发现自身安全漏洞。 该脚本通过网络收集到的22个key，利用ysoserial工具中的URLDNS这个Gadget，并结合dnslog平台实现漏洞检测。漏洞利用则...
【漏洞复现】 Shiro 反序列化漏洞
zkaqlaoniao的博客
11-09 3306
Apache Shiro是一款开源安全框架，提供身份验证、授权、密码学和会话管理。Shiro框架直观、易用，同时也能提供健壮的安全性。Apache Shiro 1.2.4及以前版本中，加密的用户信息序列化后存储在名为remember-me的Cookie中。攻击者可以使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令。该款工具特别适合初学者，配置了各种OA漏洞利用板块，还有shiro、struts2等框架漏洞的漏洞利用板块，还有一键执行命令的功能！！
shiro反序列化漏洞学习（工具+原理+复现）
wangluoanquan111的博客
04-19 1638
工具准备2.冰蝎 C:\Users\ali\Desktop\tools\Behinder_v4.0.63.shiro反序列化 图形化工具4.shiro反序列化 命令行工具一.Shiro-550 CVE-2016-4437序列化：在Java中，把Java对象转换为字节序列（json/xml）的过程叫序列化。反过来，把字节序列（json/xml）恢复为Java对象的过程就叫反序列化。Shiro反序列化：Apache。
若依低版本漏洞：shiro反序列化解决方式
weixin_43267639的博客
12-14 2455
在若依低版本中shiro可能会有反序列化的问题，因为是固定密钥的方式导致的。 解决方式如下： 1、升级shiro至最新版本 2、保持shiro版本不变
Apache Shiro 1.4.2 授权问题漏洞修复（CVE-2020-1957）
笑而不语的博客
11-04 3146
shiro 版本漏洞修复shiro 1.6.0 版本发布下载地址修复方法问题 shiro 1.6.0 版本发布 Apache Shiro 1.6.0 发布！修复绕过授权高危漏洞 目前厂商已发布升级补丁以修复漏洞，补丁获取链接： https://lists.apache.org/thread.html/rc64fb2336683feff3580c3c3a8b28e80525077621089641f2f386b63@%3Ccommits.camel.apache.org%3E 下载地址 1、官网下载地址：ht
shiro反序列化漏洞的原理和复现
顺其自然~专栏
03-09 626
Shiro是一个强大的简单易用的Java安全框架，主要用来更便捷的认证，授权，加密，会话管理。Shiro首要的和最重要的目标就是容易使用并且容易理解。2016年，网络中曝光1.2.4以前的版本存在反序列化漏洞。
shiro漏洞部分修复方法
m0_67403188的博客
04-07 4074
1.shiro反序列化漏洞解决方案: https://blog.csdn.net/ying_521125/article/details/109893850 2.Xss漏洞攻击: 在程序内配有java类XssHttpServletRequestWrapperNew适配器，确定泰安那边的是否有这个类，若没有则加上。这个类引用到的相关类也修改.(SessionFilter) ...
shiro反序列化漏洞工具
05-23
Shiro 反序列化漏洞指的是 Apache Shiro 框架在处理用户输入的 Session 数据时没有正确地对反序列化进行限制，导致攻击者可以构造恶意的序列化数据来执行任意代码。攻击者可以利用这个漏洞来获取系统权限、窃取敏感信息等。 针对 Shiro 反序列化漏洞，已经有一些工具可以用于检测和利用该漏洞，例如： 1. ShiroExploit：Shiro 反序列化漏洞利用工具，可用于远程执行命令、反弹 shell 等。 2. ShiroScan：Shiro 反序列化漏洞扫描工具，可以扫描目标主机是否存在 Shiro 反序列化漏洞，并输出扫描结果。 3. Shiro-550-Payloads：Shiro 反序列化漏洞 Payload，包含多种恶意代码，可供测试和漏洞利用使用。 需要注意的是，使用这些工具需要遵守法律法规，仅限于进行合法授权的安全测试和研究。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值