Shiro反序列化漏洞及版本更新资源

简介：
简介：本文探讨了Shiro框架中的反序列化安全漏洞，并提供了各版本的更新资源链接，帮助开发者及时修复安全隐患。 我们使用的Apache Shiro版本是1.2.4，这个版本存在反序列化漏洞。为了解决这个问题，我们将Shiro手动升级到了1.2.6版本，并且后来发现了一款名为ShiroExploit的测试工具来验证是否解决了问题。 在shiro 1.2.4及以下版本中，rememberMe参数存在硬编码的问题。它处理cookie的过程是：首先获取rememberMe的cookie值，然后进行Base64解码和AES解密，最后反序列化。然而，在这个过程中使用了固定的AES Key，从而导致了反序列化漏洞。 解决此问题的主要方法有两种： 1. 自行实现key值； 2. 升级到版本1.2.5或以上。 在我们的项目中选择了升级至1.2.6版本来解决问题。希望同样遇到这个问题的朋友们也可以尝试这种方法并成功解决它。