shiro反序列化检测工具_Shiro rememberMe反序列化攻击检测思路

1、背景

Apache Shiro是一款强大且易用的Java安全框架，使用范围非常广泛。Shiro默认使用CookieRememberMeManager，其处理cookie的流程是：rememberMe cookie值–>Base64解码–>AES解密–>反序列化。在Shiro<=1.2.4版本下，AES密钥是硬编码的，导致攻击者可以构造加密的反序列化数据执行任意命令。

下载Shiro 1.2.4的代码，先看看CookieRememberMeManager.java文件，发现其继承AbstractRememberMeManager类。

跟进到AbstractRememberMeManager类，在80行发现定了私有常量DEFAULT_CIPHER _KEY_BYTES，值为Base64.decode("kPH+bIxk5D2deZiIxcaaaA==")，而这就是我们需要找的硬编码AES key。