文章总结： 本文深入解析ApacheShiro反序列化漏洞（Shiro-550）的成因与利用方式，指出默认密钥kPH+bIxk5D2deZiIxcaaaA==导致rememberMe字段可被恶意构造触发RCE。详细演示了通过ysoserial生成CC链payload、AES加密及Base64编码的完整攻击流程，并提供关键防御方案：禁用默认密钥、自定义高强度AESKey、限制反序列化操作及及时升级框架版本。 综合评分： 87 文章分类： 漏洞分析,WEB安全,渗透测试,解决方案,红队

第106天-Shiro 王国探秘：从反序列化漏洞到攻防实战，守护你的 Java 应用！

原创

Сяо Яо Сяо Яо

AlphaNet

2026年3月24日 11:54 韩国

在小说阅读器读本章

去阅读

嘿，各位未来的安全大神和顶尖开发者们！👋 今天，让我们一起踏上探索 Java 安全世界的旅程，直面一个赫赫有名又极其重要的主角——Apache Shiro。你是否曾好奇，一个小小的 “记住我” 复选框背后，可能隐藏着怎样的安全风暴？准备好了吗？让我们一起揭开 Shiro 反序列化漏洞的神秘面纱，从根源上理解它，并学会如何驾驭它！

🧐 第一章：Shiro 是什么？—— 不仅仅是登录框

首先，让我们搞清楚，Shiro 到底是什么？

简单来说，Apache Shiro 是一个强大且易于使用的 Java 安全框架。它为我们开发者提供了一站式的解决方案，用于处理：

• 认证 (Authentication)：你是谁？（用户登录验证）

• 授权 (Authorization)：你能做什么？（权限控制）

• 加密 (Cryptography)：如何保护数据？（密码学支持）

• 会话管理 (Session Management)：如何维持用户状态？

几乎所有需要用户系统的 Java 应用，都能看到 Shiro 的身影。它的存在，就是为了让开发者从繁琐的安全逻辑中解放出来，专注于业务功能的实现。

但正如“能力越大，责任越大”，如此核心的组件一旦出现漏洞，其影响也是灾难性的。历史上，Shiro 曾爆出多个严重漏洞，我们今天聚焦的就是其中最经典、最需要掌握的——反序列化漏洞。

🕵️‍♂️ 黑盒特征：

如果 Cookie 中存在 rememberMe 字段，很大概率目标使用了 Shiro。

💥 第二章：为什么会受伤？—— Shiro 反序列化漏洞原理解析

“记住我”功能本是为了提升用户体验，为何会成为漏洞的引爆点？

当用户勾选“记住我”时，Shiro 会：

1. 读取 Cookie 🍪

2. Base64 解码 📜

3. AES 解密 🔑（默认密钥！）

4. 反序列化 💣

🚨 核心问题：默认密钥是公开的！

kPH+bIxk5D2deZiIxcaaaA==

攻击者可以：

• 构造恶意对象（Gadget Chain）

• 使用默认密钥加密

• 写入 Cookie

• 触发反序列化执行代码

👉 本质：不安全的反序列化 + 可预测密钥 = RCE

⚔️ 第三章：怎么打？—— Shiro-550 利用实战

🔑 第一步：获取加密信息

• 算法：AES/CBC/PKCS5Padding

• Key：kPH+bIxk5D2deZiIxcaaaA==

• IV：密文前16字节

💣 第二步：构造 Payload

常见利用链：

| 利用链 | 作用 | | — | — | | URLDNS | 探测漏洞 | | CC链 | 命令执行 | | CB链 | 命令执行 |

💡 为什么不用 Fastjson 链？

因为触发点不同：

• Fastjson：getter/setter

• 反序列化：readObject()

🧪 使用 ysoserial 生成 Payload

🔐 加密 Payload → rememberMe

流程：

序列化 → AES加密 → Base64编码

🚀 第三步：发送攻击请求

📜 总结：核心要点

✔ Shiro 是安全框架

✔ rememberMe 是攻击入口

✔ 默认密钥导致漏洞

✔ 本质是反序列化漏洞

🛡️ 防御建议（非常关键）

作为开发者，必须做到：

1. ❌ 禁用默认密钥

2. ✅ 自定义高强度 AES Key

3. 🚫 禁用反序列化（或白名单）

4. 🔍 升级 Shiro 版本

🧠 进阶思考

• 没有 CC 链怎么办？👉 自定义链

• 如何检测漏洞？👉 DNSLog / Burp

• 如何绕 WAF？👉 编码混淆

🎯 写在最后

Shiro 漏洞只是冰山一角，但它揭示了一个核心问题：

安全 ≠ 使用安全框架，而是正确使用它。

如果你能真正理解这一点，你已经超过了 90% 的人。

💬 互动区

👇 留言聊聊：

• 你第一次打 Shiro 成功了吗？

• 你最常用哪条利用链？

• 有没有遇到打不通的目标？

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：AlphaNet Сяо Яо Сяо Яо《第106天-Shiro 王国探秘：从反序列化漏洞到攻防实战，守护你的 Java 应用！》