Apache Shiro反序列化漏洞及修复
ccwgpt 2025-01-04 17:56 71 浏览 0 评论
写在前面
今天收到运维人员的反馈，说程序有漏洞，如下图：
哎，不查不知道，一查吓一跳。发现两个问题!!
Apache Shiro是一个强大且易用的Java安全框架，被用来执行身份验证、授权、密码和会话管理。
我手头项目的一个管理后台，开发时候为了快速上线，选了若依开源管理系统，基于它来开发。确实，基于开源系统开发很方便，但有些问题还是不能避免的，像下边这个漏洞。
SHIRO-550
在v1.2.4版本时候爆出的严重的Java反序列化漏洞，具体看:https://issues.apache.org/jira/browse/SHIRO-550。
这个漏洞的成因是shiro的rememberMe功能AES密钥硬编码在代码中，造成密钥泄露。使得恶意攻击者可以利用系统在用户登录并勾选了“记住我”时所生成cookie的流程，构造恶意cookie，服务器收到该cookie后解析出的命令可能会造成信息泄露等安全风险。
我手头项目的管理系统是基于开源的若依管理系统，shiro的秘钥也是硬编码在代码里边的，在github上搜索下就可以拿到(/汗)。而且github上用这个秘钥搜索，居然搜到1K+代码段(/狂汗)，很多使用的差不多，拷贝粘贴？？
解决办法：官方在v1.2.5版本已经解决了这个漏洞，所以需要升级shiro版本，并且，重要的一点-->> 去掉或者替换默认的秘钥。
以若依shiro配置(ShiroConfig.java)来看，具体在初始化CookieRememberMeManager时候设置。
1、去掉默认秘钥
在ShiroConfig类里边，在上图方法里边将第4行注释即可。
2、替换默认秘钥，这里可以自定义一个，或者使用下边自动生成的方式。
新建类GenerateCipherKey，添加静态方法getCipherKey()。
在初始化CookieRememberMeManager时候调用。
SHIRO-721
这个漏洞还是Java反序列化问题，比较严重，并且影响范围也很广，涉及到的版本也很多，具体看下图。
这个漏洞的成因是使用AES加密模式CBC导致的。详细情况官方已给出：
RememberMe使用AES-128-CBC模式加密，容易受到Padding Oracle攻击，AES的初始化向量iv就是rememberMe的base64解码后的前16个字节，攻击者只要使用有效的RememberMe cookie作为Padding Oracle Attack 的前缀，然后就可以构造RememberMe进行反序列化攻击，就像SHIRO-550漏洞一样。
具体利用这个漏洞攻击方式和原理，大家可以参考下文章：《从更深层面看Shiro Padding Oracle漏洞》(https://www.anquanke.com/post/id/203869)
解决办法：升级shiro版本大于等于v1.4.2。
总结
- 程序开发漏洞、bug少不了，但开发过程中仔细斟酌推敲肯定不会有错的。
- 开源项目很多，也很杂，使用时候需要注意，尤其是涉及到安全方面的框架，尽量去看下源码，不说完全吃透，关键点还是需要过一遍的。
相关推荐
- 自己动手写Android数据库框架_android开发数据库搭建
-
http://blog.csdn.net/feiduclear_up/article/details/50557590推荐理由关于Android数据库操作，由于每次都要自己写数据库操作，每次还得去...
- 谷歌开源大模型评测工具LMEval，打通谷歌、OpenAI、Anthropic
-
智东西编译|金碧辉编辑|程茜智东西5月28日消息，据科技媒体TheDecoder5月26日报道，当天，谷歌正式发布开源大模型评测框架LMEval，支持对GPT-4o、Claude3.7...
- 工信部:着力推动大模型算法、框架等基础性原创性的技术突破
-
工信部新闻发言人今日在发布会上表示，下一步，我们将坚持突出重点领域，大力推动制造业数字化转型，推动人工智能创新应用。主要从以下四个方面着力。一是夯实人工智能技术底座。通过科技创新重大项目，着力推动大模...
- 乒乓反复纠结“框架不稳定”的三个小误区
-
很多球友由于对框架的认知不清晰，往往会把“框架不稳定”当成一种心理负担，从而影响学球进度，其典型状态就是训练中有模有样，一旦进入实战，就像被捆住了手脚。通过训练和学习，结合“基本功打卡群”球友们交流发...
- 前AMD、英特尔显卡架构师Raja再战GPU，号称要全面重构堆栈
-
IT之家8月5日消息，知名GPU架构师拉贾科杜里(RajaKoduri)此前曾先后在AMD和英特尔的显卡部门担任要职。而在今日，由Raja创立的GPU软件与IP初创企...
- 三种必须掌握的嵌入式开发程序架构
-
前言在嵌入式软件开发，包括单片机开发中，软件架构对于开发人员是一个必须认真考虑的问题。软件架构对于系统整体的稳定性和可靠性是非常重要的，一个合适的软件架构不仅结构清晰，并且便于开发。我相...
- 怪不得别人3秒就知道软考案例怎么做能50+
-
软考高级统一合格标准必须三科都达到45分，案例分析也一直是考生头疼的一门，但是掌握到得分点，案例能不能50+还不是你们说了算吗？今天就结合架构案例考点，分享实用的备考攻略～一、吃透考点，搭建知识框架从...
- UML统一建模常用图有哪些，各自的作用是什么?一篇文章彻底讲透
-
10万+爆款解析：9大UML图实战案例，小白也能秒懂！为什么需要UML？UML（统一建模语言）是软件开发的“蓝图”，用图形化语言描述系统结构、行为和交互，让复杂需求一目了然。它能：降低沟通成本避...
- 勒索软件转向云原生架构，直指备份基础设施
-
勒索软件组织和其他网络犯罪分子正越来越多地将目标对准基于云的备份系统，对久已确立的灾难恢复方法构成了挑战。谷歌安全研究人员在一份关于云安全威胁演变的报告中警告称，随着攻击者不断改进数据窃取、身份泄露和...
- ConceptDraw DIAGRAM:释放创意，绘就高效办公新未来
-
在当今数字化时代，可视化工具已成为提升工作效率和激发创意的关键。ConceptDrawDIAGRAM，作为一款世界顶级的商业绘图软件，凭借其强大的功能和用户友好的界面，正逐渐成为众多专业人士的首选绘...
- APP 制作界面设计教程:一步到位_app界面设计模板一套
-
想让APP界面设计高效落地，无需繁琐流程，掌握“框架搭建—细节填充—体验优化”三步法，即可一步到位完成专业级设计。黄金框架搭建是基础。采用“三三制布局”：将屏幕横向三等分，纵向保留三...
- MCP 的工作原理:关键组件_mcp部件
-
以下是MCP架构的关键组件：MCP主机：像ClaudeDesktop、GitHubCopilot或旅行助手这样的AI智能体，它们希望通过MCP协议访问工具、资源等。MCP主机会...
- 软件架构_软件架构师工资一般多少
-
软件架构师自身需要是程序员，并且必须一直坚持做一线程序员。软件架构应该是能力最强的一群程序员，他们通常会在自身承接编程任务的同时，逐渐引导整个团队向一个能够最大化生产力的系统设计方向前进。软件系统的架...
- 不知不觉将手机字体调大!老花眼是因为“老了吗”?
-
现在不管是联系、交友，还是购物，都离不开手机。中老年人使用手机的时间也在逐渐加长，刷抖音、看短视频、发朋友圈……看手机的同时，人们也不得不面对“视力危机”——老花眼，习惯眯眼看、凑近看、瞪眼看，不少人...
- 8000通用汉字学习系列讲座(第046讲)
-
[表声母字]加(续)[从声汉字]伽茄泇迦枷痂袈笳嘉驾架咖贺瘸(计14字)嘉[正音]标准音读jiā。[辨形]上下结构，十四画。会意形声字，从壴从加，加也表声。注：从壴，字义与鼓乐有关；从加，字义与...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- 框架图 (58)
- flask框架 (53)
- quartz框架 (51)
- abp框架 (47)
- springmvc框架 (49)
- 分布式事务框架 (65)
- scrapy框架 (56)
- shiro框架 (61)
- 定时任务框架 (56)
- java日志框架 (61)
- mfc框架 (52)
- abb框架断路器 (48)
- beego框架 (52)
- java框架spring (58)
- grpc框架 (65)
- tornado框架 (48)
- 前端框架bootstrap (54)
- orm框架有哪些 (51)
- 知识框架图 (52)
- ppt框架 (55)
- 框架图模板 (59)
- 内联框架 (52)
- cad怎么画框架 (58)
- ssm框架实现登录注册 (49)
- oracle字符串长度 (48)