Apache Shiro before 1.5.2, when using Apache Shiro with Spring dynamic controllers, a spec…
Description[5]The cookie rememberMe is encrypted by AES-128-CBC mode, and this can be vuln…
引言一般在拿到一套源码的时候，一开始学习代码审计的可能有点无从下手，在不用工具的情况下，不知道去怎么找路由，去看哪个目录的代码，本文详细讲解遇到java的struts2框架的时候，…
Shiro 密钥爆破之前的CVE-2016-4437提到过，在shiro-1.2.5及以后，对其进行了修复，密钥不再固定（如果不自己指定的话），而是每次启动时会自动生成一个密钥,那…
描述：对请求路径中的ContextPath部分没有进行过滤，造成路径检测绕过，从而导致越权行为漏洞条件shiro.version < 1.3.2项目路径不是根路径 /而是类似…
[condition] shiro <= 1.2.4[description]密钥被硬编码在shiro组件中，密钥泄露，从而导致反序列化漏洞漏洞环境springBoot:vu…
最近在学习CodeQL，对于CodeQL就不介绍了，目前网上一搜一大把。本系列是学习CodeQL的个人学习笔记，根据个人知识库笔记修改整理而来的，分享出来共同学习。个人觉得QL的语…
[condition] < shiro 1.1.0背景如果对shiro-web的原理不清楚可以参考以下链接：shiro-web 软件分析发送URL前，浏览器本身会对../``…
shiro-web看之前可以先了解：shiro-core 分析shiro-web是shiro-core的wrapper：其特征都是 ”实现一方，调用一方“ 注：调用不一定要显式的调…
