超级会员免费看
本文详细介绍了Apache Shiro的安全框架和反序列化漏洞原理，重点讲解了漏洞利用步骤，包括AES密钥判断、构造Payload的方法，以及在实际利用过程中可能遇到的Payload长度限制和SUID不匹配问题。此外，还讨论了工具编写思路和版本兼容性问题，旨在帮助读者深入理解Shiro反序列化漏洞的利用和防御。
Shiro反序列化漏洞利用笔记
Apache Shiro是一个强大且易用的Java安全框架，执行身份验证、授权、密码和会话管理。目前在Java web应用安全框架中，最热门的产品有Spring Security和Shiro，二者在核心功能上几乎差不多，但Shiro更加轻量级，使用简单、上手更快、学习成本低，所以Shiro的使用量一直高于Spring Security。产品用户量之高，一旦爆发漏洞波及范围相当广泛，研究相关漏洞是很有必要的。
一、Shiro反序列化漏洞
1.1 安全框架
Apache Shiro是一个强大且易用的Java安全框架，执行身份验证、授权、密码和会话管理。目前在Java web应用安全框架中，最热门的产品有Spring Security和Shiro，二者在核心功能上几乎差不多，但Shiro更加轻量级，使用简单、上手更快、学习成本低，所以Shiro的使用量一直高于Spring Security。产品用户量之高，一旦爆发漏洞波及范围相当广泛，研究相关漏洞是很有必要的。
1.2 漏洞原理
Apache Shiro框架提供了记住我的功能（RememberMe），用户登陆成
订阅专栏 解锁全文
扫一扫
5304
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
