Apache Shiro _= 1.2.4 默认密钥导致命令执行漏洞(CVE-2016-4437)_shiro框架禁用默认密钥

作者：Gausst松鼠会 | 2024-05-14 22:31:01

踩

shiro框架禁用默认密钥

靶标介绍：

Apache Shiro是一款开源安全框架，提供身份验证、授权、密码学和会话管理。Shiro框架直观、易用，同时也能提供健壮的安全性。 Apache Shiro 1.2.4及以前版本中，加密的用户信息序列化后存储在名为remember-me的Cookie中。攻击者可以使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令。

漏洞复现

进入目标网站(漏洞的原因就是使用默认密钥)

直接使用工具爆破出来，进行攻击

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/Gausst松鼠会/article/detail/570378

Apache Shiro _= 1.2.4 默认密钥导致命令执行漏洞(CVE-2016-4437)_shiro框架 禁用默认密钥

靶标介绍：

漏洞复现

Apache Shiro _= 1.2.4 默认密钥导致命令执行漏洞(CVE-2016-4437)_shiro框架禁用默认密钥