Burpsuite Shiro检测插件—ShiroScanner&ShiroScan&BurpPlugin_Shiro

目录

1.前言

2.ShiroScanner插件

2.1 ShiroScanner介绍&导入

2.2 ShiroScanner的使用

3.ShiroScan插件

4.BurpPlugin_Shiro插件

---

 

1.前言

       在对网站进行渗透时，如何判断网站是否使用了Shiro安全框架，以及如何检测是否存在Shiro反序列化漏洞呢？相关的Burp插件，已经有大佬写出来了。希望未来某一天，自己也能写一个。

---

 

2.ShiroScanner插件

2.1 ShiroScanner介绍&导入

       ShiroScanner是一个采用SimplePrincipalCollection检测shiro漏洞的Burp插件，可以检测不出网的情况。并且该插件中集成了14个key可以用于检测反序列化漏洞。

检测原理：

       通过发一个请求包，cookie中包含一个rememberMe字段，如果返回的响应包中存在rememberMe=deleteMe字段，即说明使用了Shiro安全框架。

                                                                    Github地址：