shiro1.2.4升级报错 org/owasp/encoder/Encode或者是org.owasp.encoder.Encode

作者：码创造者 | 2024-07-18 19:26:24

踩

org.owasp.encoder.encode

ApacheShiro反序列化远程代码执行漏洞处理

Shiro对rememberMe的cookie做了加密处理，shiro在CookieRememberMeManaer类中将cookierememberMe字段内容分别进行序列化、AES加密、Base64编码操作。但是，AES加密的密钥Key被硬编码在代码里，意味着每个人通过源代码都能漏洞描述拿到AES加密的密钥。因此，攻击者构造一个恶意的对象，并且对其序列化，AES加密，base64编码后，作为cookie的rememberMe字段发送。Shiro将rememberMe进行解密并且反序列化，最终造成反序列化漏洞。

有两种修改方式。

第一种：修改shiro配置文件，修改内容为

<bean id="rememberMeCookie" class="org.apache.shiro.web.servlet.SimpleCookie">

<constructor-arg value="rememberMe"/>

<property name="httpOnly" value="true"/>

<property name="maxAge" value="31536000"/>

</bean>

<bean id="rememberMeManager" class="org.apache.shiro.web.mgt.CookieRememberMeManager">

<property name="cipherKey" value="#{T(org.apache.shiro.codec.Base64).decode('qQFtSnnj/sx7vu51ixAyEQ==')}"/>

<property name="cookie" ref="rememberMeCookie"/>

</bean>

qQFtSnnj/sx7vu51ixAyEQ== 这个是生成AES密钥
生成方式参照：https://www.cnblogs.com/pxblog/p/12485832.html

第二种；替换项目中shiro jar包,替换成1.2.6版本

下载地址：https://yvioo.lanzous.com/b00nueaib

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/码创造者/article/detail/847304

shiro1.2.4升级报错 org/owasp/encoder/Encode或者是org.owasp.encoder.Encode

ApacheShiro反序列化远程代码执行 漏洞处理

ApacheShiro反序列化远程代码执行漏洞处理