shiro key文件
创始人
2024-03-08 11:11:28
0次
下面结合实战以及shiro的CookieRememberMeManaer的调用过程，浅谈获取shiro key文件的几种方式。
shiro key文件的获取方式：1结合Dnslog与URLDNS；2利用时间延迟或报错；3结合CookieRememberMeManaer
1结合Dnslog与URLDNS
在进行漏洞探测的时候，一般会使用ysoserial-URLDNS-gadget结合dnslog进检测,其受JDK版本和相关的安全策略影响, 除非存在网络限制DNS不能出网。
通过判断dnslog是否收到对应的请求，判断漏洞是否存在。这是获取key比较实用方法，通过在dnslog域名前加对应key的randomNum，结合对应的dnslog记录，即可获取到应用对应的Shiro key了。
例如下图通过结合Dnslog与URLDNS成果枚举出当前应用的key为kPH+bIxk5D2deZiIxcaaaA==：
2利用时间延迟或报错
结合Dnslog与URLDNS方法有一个前提是DNS能出网。那么在不出网的情况下就需要找一个替代的方案了。结合SQL盲注的思路，可以考虑执行如下代码结合时间延迟进行判断，若系统是linux系统，则睡眠10s：
try{ 相关内容
热门资讯
精华制药（002349）披露孙...
截至2025年12月25日收盘，精华制药（002349）报收于7.42元，较前一交易日上涨0.68%...
阿尔及利亚通过法案认定法国在阿...
新华社阿尔及尔12月25日电（记者徐永春）据阿尔及利亚通讯社报道，阿尔及利亚议会24日通过一项法案，...
资产管理信托、理财、保险资管产...
12月25日，金融监管总局发布《银行保险机构资产管理产品信息披露管理办法》（下称《办法》）。 金融监...
三力制药（603439）发布市...
截至2025年12月25日收盘，三力制药（603439）报收于11.87元，较前一交易日上涨0.25...
轻纺城：3.71亿元房屋征收补...
12月25日，轻纺城（600790）发布公告，2022年6月，公司子公司国际物流中心与房屋征收部门签...
诉讼未决，海辰储能赴港IPO前...
储能类公司赴港IPO难不难？对果下科技而言，不难——更新招股书后便很快登陆港股市场。对海辰储能而言，...
江丰电子：分红政策详见未来三年...
证券之星消息，江丰电子(300666)12月25日在投资者关系平台上答复投资者关心的问题。 投资者提...
深度关注丨促进"四项...
安徽省亳州市健全“纪巡”联动机制，该市市委巡察机构将发现的生态环境保护方面问题线索及时移交市纪委监委...
上海出台23条政策措施 支持长...
近日，上海市科委会同松江区研究制订了《关于支持长三角G60科创走廊策源地建设的若干措施》。《若干措施...