Apache Shiro Java反序列化漏洞分析

参考：https://www.cnblogs.com/loong-hon/p/10619616.html

漏洞修复

先说结论：无论是否升级shiro到1.2.5及以上，如果shiro的rememberMe功能的AES密钥一旦泄露，就会导致反序列化漏洞。
跟了shiro 1.3.2的代码，看到官方的操作如下：

  • 删除代码里的默认密钥
  • 默认配置里注释了默认密钥
  • 如果不配置密钥，每次会重新随机一个密钥

可以看到并没有对反序列化做安全限制，只是在逻辑上对该漏洞进行了处理。
如果在配置里自己单独配置AES的密钥，并且密钥一旦泄露，那么漏洞依然存在。

所以漏洞修复的话，我建议下面的方案同时进行：

  • 升级shiro到1.2.5及以上
  • 如果在配置里配置了密钥，那么请一定不要使用网上的密钥，一定不要！！请自己base64一个AES的密钥，或者利用官方提供的方法生成密钥：org.apache.shiro.crypto.AbstractSymmetricCipherService#generateNewKey()