Apache Shiro反序列化漏洞修复

最新推荐文章于 2024-08-07 19:51:54 发布

功课还没做o_0

最新推荐文章于 2024-08-07 19:51:54 发布

阅读量798

点赞数 2

文章标签：扫漏 shiro

本文链接：https://blog.csdn.net/spring_is_coming/article/details/128152143

版权

一丶漏洞描述

在这里插入图片描述

二丶修复流程

1丶升级shiro框架为: 1.2.5 及以上

		<dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-spring</artifactId>
            <version>1.7.1</version>
        </dependency>

        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-ehcache</artifactId>
            <version>1.7.1</version>
        </dependency>

2丶删除默认秘钥, 使用自动生成的秘钥

	@Bean
    public CookieRememberMeManager getRememberManager() {
        CookieRememberMeManager meManager = new CookieRememberMeManager();
        AesCipherService cipherService = new AesCipherService();
        meManager.setCipherKey(cipherService.generateNewKey().getEncoded());
        meManager.setCookie(getRememberMeCookie());
        return meManager;
    }