共计 346 个字符，预计需要花费 1 分钟才能阅读完成。
Java 反序列化破绽 Apache Shiro RememberMe 1.2.4 近程代码执行
有些攻打告警须要排查 cookie 中 remeberMe 数据包，是否攻打胜利，做了哪些操作。解密原理比较简单，应用常见的 AES 密钥解密，明文里蕴含 aced0005 的 magic number 即为解密胜利
去年做了一个简略的网页版解密工具，源码弄丢了，又从新做了一个，内置 100 多个 key，退出了对象结构化展现的性能，看起来更不便。原理是依据序列化协定，逐字节读取解析，参考了 tcalmant/python-javaobj 这个我的项目。ysoserial CommonsBeanutils CommonsCollections 等 payload 都能辨认展现进去
https://sec.dog/shiroDecrypt.html
正文完