FreeBuf网络安全行业门户 ·

Shiro反序列化漏洞原理详解及复现

💡 原文中文，约1100字，阅读约需3分钟。

📝

内容提要

介绍Shiro框架反序列化漏洞及利用方法，利用padding oracle攻击和密钥泄露反序列化cookie中的rememberMe字段，利用ysoserial生成URLDNS链和CC链执行命令或反弹shell，介绍其他版本的反序列化漏洞及防御措施。

🏷️

安全公告：CVE-2026-19248：Qt XML 的 QDomNode 析构函数存在无界递归漏洞，影响 Qt
Qt 的 QDomNode 析构函数存在无界递归漏洞（CVE-2026-19248），影响 Qt 2.2.0 至 6.8.8、6.9.0 至 6.11.1...
神圣单纯性堵住了上帝对象无法必然存在的漏洞，却留下终极裂缝
文章以逻辑论证探讨“必然存在者”：若其由多个真零件组成，则需外部统一原则，便不再必然；因此其本质与存在必须完全同一，即“神圣单纯性”。作者类比DDD订单聚...
Christophe Pettus: All Your GUCs in a Row: max_files_per_process
PostgreSQL's max_files_per_process isn't a hard limit—it's a desc...
AI编码助手的日志也会泄密：先划清明文边界
阿里云提出AI日志三层保护方案：采集端脱敏、入库前治理、入库后加密。核心原则是明文边界优先，脱敏、对称加密、信封加密各适用于不同场景。Pilot默认不脱敏...
同一套GPU多服务2.5倍用户，关键不是换模型
NVIDIA测试显示，四张B200运行Nemotron 3 Ultra，在每用户50 Token/s延迟目标下，启用NIM优化栈后并发承载从718提升至1...
开发、运维好帮手 - deepseek-harness-remote-node
AI Agent 受限于环境上下文，常见方案存在密钥泄露或安全风险。文章提出让环境接入 Agent：deepseek-harness-web 将 dsh ...