本文讨论了银行CTF比赛中的shiro反序列化题目，分析了权限绕过和反序列化漏洞。通过黑盒和白盒测试，发现shiro版本存在CVE-2020-13933漏洞。深入分析源码，确认反序列化点和命令执行漏洞，并成功构造payload执行命令。总结了shiro的知识和反序列化链的构建过程。

本文回顾了2020年的研究，重点讨论了服务端模板注入（SSTI）和反序列化漏洞。分析了SSTI漏洞在模板引擎中的应用，以及CommonsCollections的反序列化漏洞的不同利用方式。同时探讨了Fastjson和Shiro的反序列化漏洞，强调了恶意Payload的生成与利用。

ShiroAttack2 是一款针对 Shiro-550 漏洞的快速利用工具，支持 GUI 和 CLI 模式。该漏洞因默认 Key 难以更换且利用成本低而持续存在。工具特点包括多版本支持、自动 AES 模式切换、内存马注入和多样的回显类型，适合脚本化和 AI 调用。

本文探讨了Java反序列化漏洞的黑盒挖掘方法，重点分析了fastjson和shiro的反序列化漏洞。通过判断数据包格式、版本和利用链，分享了具体的攻击手段及绕过WAF的技巧，强调了技术信息的参考性质及使用时的谨慎。

Shiro 1.2.4版本之前存在反序列化漏洞，攻击者可利用固定加密Key伪造rememberMe Cookie，通过构造恶意序列化对象并利用commons-collections依赖进行攻击。

Shiro框架是一个Java安全框架，提供认证、授权、加密和会话管理功能。其反序列化漏洞源于硬编码的AES密钥，攻击者可利用恶意Cookie进行远程代码执行。建议升级Shiro版本并采用更安全的加密方式。

本文分析了漏洞的序列化与反序列化过程，指出AES加密使用默认密钥是主要原因。序列化流程为：序列化 -> AES加密 -> Base64编码；反序列化流程为：Base64解码 -> AES解密 -> 反序列化。

由于利用工具以及很成熟了，就不进行复现了。本文只探讨漏洞原理。个人见解。

2月21日下单，23日收到，终于买到了心仪的手办，虽然是老款，做工略显粗糙，但仍然很满意，实现了初中的愿望。

本文介绍了多种常见的漏洞挖掘工具，如fastjson、shiro和jboss，并提供了下载链接和使用说明。同时提醒读者遵守网络安全法，谨慎使用相关技术信息。

CVE-2016-4437是Apache Shiro框架中的高危RCE漏洞，因硬编码AES密钥，攻击者可构造恶意序列化对象。修复措施包括升级Shiro版本、使用自定义密钥和限制反序列化类。开发者应定期审计安全性，避免信任未经验证的输入。

本文介绍了Apache Shiro的核心功能，包括身份验证、访问控制和会话管理。SecurityManager是核心管理者，通过编程和配置文件进行初始化。Authenticator负责身份认证，Authorizer进行访问控制，SessionManager管理会话。Shiro采用AOP和工厂模式，支持多种会话管理实现。

Apache Shiro在1.12.0之前存在路径遍历漏洞，可能导致身份验证绕过。建议更新至1.12.0+或2.0.0-alpha-3+。该漏洞源于路径匹配未规范化，影响其他API或框架。补丁可防止路径穿越符号访问，适用于所有不基于规范化的路径匹配组件。