Apache Shiro 身份认证绕过漏洞(CVE-2022-32532)漏洞复现

最新推荐文章于 2024-05-17 16:09:00 发布
最新推荐文章于 2024-05-17 16:09:00 发布
阅读量2.5k 收藏 2
点赞数
文章标签： 安全 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_36584013/article/details/125538946
版权

Apache Shiro 身份认证绕过漏洞(CVE-2022-32532)漏洞复现

0x01 漏洞简介

​ Apache Shiro 是一个强大且易用的 Java 安全框架，通过它可以执行身份验证、授权、密码和会话管理。使用 Shiro 的易用 API，您可以快速、轻松地保护任何应用程序 —— 从最小的移动应用程序到最大的 WEB 和企业应用程序。

0x02 环境准备

vulfocus 靶场 https://vulfocus.cn/

0x03 漏洞复现

使用 %0 进行权限绕过

加token也可以绕过

xyongsec
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
漏洞复现 | Apache Shiro 授权绕过漏洞（CVE-2022-32532）
尼泊罗河伯的博客
09-16 4638
Apache Shiro 是一套用于执行认证、授权、加密和会话管理的 Java 安全框架。2022年06月29日 APache 官方发布了一则关于 Apache Shiro 的安全通告，Apache Shiro 1.9.1 前的版本 RegExPatternMatcher 在使用带有“.”的正则时，可能会导致权限绕过。漏洞源于 RegExPatternMatcher 默认使用的正则匹配的“.”不会匹配换行符，因此可以使用在路径中添加换行符来绕过权限匹配。
修复Apache Shiro身份认证绕过漏洞 (CVE-2022-32532)步骤注意事项
知世故而不世故
06-30 4005
注意事项在最下方【紧急漏洞通告】 尊敬的用户，您好，近日发现以下最新漏洞威胁。 漏洞名称：Apache Shiro认证绕过漏洞（CVE-2022-32532） 漏洞描述：2022年6月29日，安全团队监测到一则Apache Shiro组件存在认证绕过漏洞的信息，漏洞编号：CVE-2022-32532，漏洞威胁等级：高危。 该漏洞是由于RegexRequestMatcher不正当配置存在安全问题，攻击者可利用该漏洞在未授权的情况下，构造恶意数据绕过Shiro的权限配置机制，最终可绕过用户身份认证，导致权限校验
友点 9.5.0 版本 SQL注入(CVE-2022-32300)
最新发布
qq_51780583的博客
05-17 278
vulfocus youdiancms 9.5.0 版本 SQL注入 （CVE-2022-32300）
CVE漏洞复现-CVE-2023-32233 NetFilter权限提升
把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....
06-06 3211
Netfilter是Linux 内核中的网络数据包处理框架（iptables）通过各种规则和过滤器，基于数据包的来源、目标地址、协议类型、端口号等信息，控制网络流量和数据包的转发和处理具体，详情请见。
Goby漏洞更新 | YoudianCMS v9.5.0 sql注入（CVE-2022-32300）
m0_46699477的博客
04-06 827
YouDianCMS是一个网站CMS。YoudianCMS v9.5.0版本存在安全漏洞，该漏洞源于通过/App/Lib/Action/Admin/MailAction.class.php处的MailSendID参数发现存在SQL注入漏洞。
youdiancms 9.5.0 版本 SQL注入（vulfocus复现）
qq_40646572的博客
04-24 1210
从上述信息，可以看到，web服务的80端口被映射到62461端口，并且该服务对外开启了3306端口并映射到20130 端口。并且给了数据库的相关信息。
Shiro权限绕过漏洞（CVE-2020-1957，CVE-2020-11989、CVE-2020-13933）
weixin_46411728的博客
07-22 1286
Shiro权限绕过漏洞（CVE-2020-1957，CVE-2020-11989、CVE-2020-13933）
Apache Shiro身份验证绕过漏洞(CVE-2020-13933)
07-17
直接使用java -jar srping....war命令运行即可 执行之后，访问http://主机的IP:8888/admin/*或者http://主机的IP:8888/login
CVE-2020-13933 靶场： shiro 认证绕过漏洞.zip
01-14
在靶场中，安全专业人员可以模拟攻击者的行为，发现系统和应用的漏洞，并进行渗透测试，从而及时修复和改进防御机制。同时，这也为防御方提供了锻炼机会，通过对抗攻击提高防御能力。 靶场的搭建还促进了团队协作与...
Apache Shiro 身份验证绕过漏洞安全风险通告
03-24
Apache Shiro 身份验证绕过漏洞安全风险通告
shiro权限绕过漏洞分析(cve-2020-1957) _ Spoock1
08-03
Apache Shiro是一个强大的Java安全框架，它提供了身份验证、授权、加密和会话管理功能，用于简化企业级应用的安全实现。在Spring Boot项目中，Shiro通常被用来控制用户的访问权限。然而，如标题和描述中提到的，存在...
Apache Shiro 身份验证绕过漏洞 (CVE-2020-11989)
文公子的博客
11-03 3362
Apache Shiro 身份验证绕过漏洞 (CVE-2020-11989) Apache Shiro是一个强大且易用的Java安全框架，它可以用来执行身份验证、授权、密码和会话管理。目前常见集成于各种应用中进行身份验证，授权等。 漏洞详情 腾讯安全玄武实验室研究员发现在Apache Shiro 1.5.3之前的版本，将Apache Shiro与Spring控制器一起使用时，特制请求可能会导致身份验证绕过。 漏洞发现者 该漏洞由腾讯安全玄武实验室的Ruilin发现并报告，此外来自边界无限的淚笑也独立向官方报
Shiro 身份验证绕过 （CVE-2020-13933）
weixin_46801402的博客
11-01 491
Shiro 身份验证绕过 （CVE-2020-13933）
Spring RCE 漏洞 CVE-2022-22965复现分析
m0_61506558的博客
09-19 5473
关于CVE-2022-22965漏洞的环境调试和内容，网上看了一波，感觉有些知识点内容还是必须要了解才能理解该漏洞，为此详细写了下从Spring框架结构分析，环境搭建到漏洞分析调试整体的一个过程理解，在遇到其他类型的漏洞也可以去调试运用。(一）了解Spring框架由于本文主要介绍漏洞原理流程，所以有关框架不会具体展开，会将涉及到的内容进行解释。1、
Cacti命令执行漏洞复现(CVE-2022-46169)
0xSec
02-02 3841
Cacti项目是一个开源平台，可为用户提供强大且可扩展的操作监控和故障管理框架。在1.2.22版本中存在一处命令注入漏洞，攻击者可以通过X-Forwarded-For请求头绕过服务端校验并在其中执行任意命令。漏洞编号：CVE-2022-46169，漏洞等级：严重。
（2022年12月最新）spring-core-rce漏洞复现CVE-2022-22965
qq1140037586的博客
12-21 1715
2022年3月29日，Spring框架曝出RCE 0day漏洞。已经证实由于 SerializationUtils#deserialize 基于 Java 的序列化机制，可导致远程代码执行 (RCE)，使用JDK9及以上版本皆有可能受到影响。通过该漏洞可写入webshell以及命令执行。在Spring框架的JDK9版本(及以上版本)中，远程攻击者可在满足特定条件的基础上，通过框架的参数绑定功能获取AccessLogValve对象并诸如恶意字段值，从而触发pipeline机制并写入任意路径下的文件。
shiro权限绕过
人若有志,就不会在半坡停止。
11-08 2123
Apache Shiro是一个强大且易用的Java安全框架，执行身份验证、授权、密码和会话管理。使用Shiro的API，您可以快速、轻松地获得任何应用程序，从最小的移动应用程序到最大的网络和企业应用程序。
CVE-2022-30190 漏洞复现
weixin_53884648的博客
11-10 5944
通过exp实现了对微软目前存在的office-word-2016的成功复现
CVE-2022-30887漏洞复现
weixin_45177807的博客
11-06 2233
CVE-2022-30887漏洞复现
spring boot 解决Apache Shiro身份认证绕过漏洞（CVE-2023-22602）
06-02
对于Spring Boot项目中的Apache Shiro身份认证绕过漏洞（CVE-2023-22602），可以通过以下步骤进行解决： 1.升级Apache Shiro到1.7.1或更高版本。可以在项目的Maven或Gradle依赖中更新Apache Shiro的版本。 2.检查应用程序的Shiro配置文件，确保已正确配置了身份认证。例如，应该使用密码哈希来存储用户的密码，并使用适当的加密算法来保护密码。 3.禁用Shiro的RememberMe功能，以防止身份验证绕过攻击。可以在Shiro配置文件中添加以下配置： ``` securityManager.rememberMeManager.cookie.enabled = false ``` 这将禁用RememberMe cookie。 4.限制登录尝试次数，以防止暴力攻击。可以使用Spring Security等其他安全框架来实现此功能。 这些措施可以有效地防止Apache Shiro身份认证绕过漏洞（CVE-2023-22602）。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值