前言偶然见到大佬玩的这漏洞，学习一下漏洞范围ApacheShiro<=1.2.4漏洞复现参考资料：apache-shiro反序列化远程代码执行漏洞复现环境搭建大部分工具大佬已经给出，详见参考资料靶机windows10

1.资产查找Fofa:app="Apache-Shiro"2.影响版本ApacheShiroBase64解码–>AES解密–>反序列化。

Apache-Shiro旨在简化身份验证和授权，为企业应用提供安全解决方案。

Shiro简介：ApacheShiro是Java的一个安全框架。功能强大，使用简单的Java安全框架，它为开发人员提供一个直观而全面的认证，授权，加密及会话管理的解决方案。实际上，Shiro的主要功能是管理应用程序中与安全相关的全部，同时尽可能支持多种实现方法。Shiro是建立在完善的接口驱动设计和面向对象原则之上的，支持各种自定义行为。Shiro提供的默认实现，使其能完成与其他安全框架同样的功能

看了好久的文章才开始分析调试java的cc链，这个链算是java反序列化漏洞里的基础了。分析调试的shiro也是直接使用了cc链。首先先了解一些java的反射机制。一、什么是反射：反射是Java的特征之一，是一种间接操作目标对象的机制，核心是JVM在运行的时候才动态加载类，并且对于任意一个类，都能够知道这个类的所有属性和方法，调用方法/访问属性，不需要提前在编译期知道运行的对象是谁，他允许运行中的

apache-shiro的权限配置真心好用，简单易懂啊.....但是小编最近遇上个问题，自定义的filtes-表单验证FormAuthenticationFilter新增验证码CaptAuthenticationFilter

使用docker搭建环境获取docker镜像dockerpullmedicean/vulapps:s_shiro_1重启dockersystemctlrestartdocker启动docker镜像：dockerrun-d-p8081:8080medicean/vulapps:s_shiro_1访问：http://localhost:8081/环境搭建成功一、检查有没有默认key检测脚本工具：htt

weapp-tucao前后端分离的吐槽WebApp欢迎stargithubDescription利用Apache-Shiro实现了鉴权利用RabbitMQ对邮件服务实现了解耦以及可靠性的邮件投递采用了七牛云存储图片

原文链接：http://www.cnblogs.com/aaron911/p/9273420.html1.1shiro介绍ApacheShiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码学和会话管理。使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。三个核心组件：Subject,SecurityManager和R

不使用任何模板：2、鼠标点击项目右键，点击【OpenModuleSettings】,在ProjectStructure设置页面中，选择【Facets】，添加【Web】模板，选择对应要强转的Module，如【apache-shiro

apache-shiro的强大可见一斑。

让ApacheShiro保护你的应用http://www.infoq.com/cn/articles/apache-shiro基于Spring框架的Shiro配置http://kdboy.iteye.com

转自：http://www.infoq.com/cn/articles/apache-shiro在尝试保护你的应用时，你是否有过挫败感？是否觉得现有的Java安全解决方案难以使用，只会让你更糊涂？

用了apache-shiro以后，偶然发现servlet环境下(我开发时用的servlet3.0)HttpSession.getServletContext()一直返回的是null 查看了ShiroHttpSession

一直以为给定的下面配置是短路方式的，即defaultJdbcRealm可以成功认证，backDoorJdbcRealm就不会被调用。 其实不然，org.apache.shiro.authc.pam.FirstSuccessfulStrategy并不是这个意思，所有的realm依然都会被调用。 只不过是第一个认证成功的AuthenticationInfo作为最后的结果返回。 

一直以为给定的下面配置是短路方式的，即defaultJdbcRealm可以成功认证，backDoorJdbcRealm就不会被调用。 其实不然，org.apache.shiro.authc.pam.FirstSuccessfulStrategy并不是这个意思，所有的realm依然都会被调用。 只不过是第一个认证成功的AuthenticationInfo作为最后的结果返回。 

org.apache.shiro.session.mgt.eis.SessionDAO接口就有此功能，不过配置shiro的时候，最好在容器上下文中指定SessionDAObean的名字 以方便直接注入到业务bean package org.apache.shiro.session.mgt.eis; import org.apache.shiro.session.Session; import o

apache-shiro的强大可见一斑。

原文：http://www.infoq.com/cn/articles/apache-shiro   在尝试保护你的应用时，你是否有过挫败感？

details/7035724 http://blog.itpub.net/23071790/viewspace-709367/ http://www.infoq.com/cn/articles/apache-shiro

details/7035724 http://blog.itpub.net/23071790/viewspace-709367/ http://www.infoq.com/cn/articles/apache-shiro

  apache-shiro的权限配置真心好用，简单易懂啊.....但是小编最近遇上个问题，自定义的filtes-表单验证FormAuthenticationFilter新增验证码CaptAuthenticationFilter

apache-shiro的强大可见一斑。 (二)apa

阅读更多用了apache-shiro以后，偶然发现servlet环境下(我开发时用的servlet3.0)HttpSession.getServletContext()一直返回的是null查看了ShiroHttpSession

用了apache-shiro以后，偶然发现servlet环境下(我开发时用的servlet3.0)HttpSession.getServletContext()一直返回的是null查看了ShiroHttpSession

阅读更多用了apache-shiro以后，偶然发现servlet环境下(我开发时用的servlet3.0)HttpSession.getServletContext()一直返回的是null查看了ShiroHttpSession

阅读更多一直以为给定的下面配置是短路方式的，即defaultJdbcRealm可以成功认证，backDoorJdbcRealm就不会被调用。其实不然，org.apache.shiro.authc.pam.FirstSuccessfulStrategy并不是这个意思，所有的realm依然都会被调用。只不过是第一个认证成功的AuthenticationInfo作为最后的结果返回。为了实现目的，必须对o

一直以为给定的下面配置是短路方式的，即defaultJdbcRealm可以成功认证，backDoorJdbcRealm就不会被调用。其实不然，org.apache.shiro.authc.pam.FirstSuccessfulStrategy并不是这个意思，所有的realm依然都会被调用。只不过是第一个认证成功的AuthenticationInfo作为最后的结果返回。

让ApacheShiro保护你的应用http://www.infoq.com/cn/articles/apache-shiro在Web项目中应用ApacheShirohttp://www.ibm.com

阅读更多org.apache.shiro.session.mgt.eis.SessionDAO接口就有此功能，不过配置shiro的时候，最好在容器上下文中指定SessionDAObean的名字以方便直接注入到业务beanpackageorg.apache.shiro.session.mgt.eis;importorg.apache.shiro.session.Session;importorg.a

org.apache.shiro.session.mgt.eis.SessionDAO接口就有此功能，不过配置shiro的时候，最好在容器上下文中指定SessionDAO bean的名字 以方便直接注入到业务bean package org.apache.shiro.session.mgt.eis; import org.apache.shiro.session.Session;

apache-shiro的强大可见一斑。

apache-shiro的强大可见一斑。

http://www.infoq.com/cn/articles/apache-shiro   Shiro是一个强大而灵活的开源安全框架，能够非常清晰的处理认证、授权、管理会话以及密码加密