Shiro免密登录
最近做接入SSO单点登录，需要从别的系统返回的用户然后直接登录，所以需要用到免密登录，其实很简单，自己写一个类继承HashedCredentialsMatcher类，然后重写doCredentialsMatch，判断免密登录规则可结合实际业务需求更改，符合规则的return true就代表密码校验通过，代码如下：import org.apache.shiro.authc.Authentic...
2024-01-10
Shiro中获取Cookie
自定义shiro的SessionIdCookie在使用shiro的时候，曾经有段时间很苦恼，因为我cookie的sessionId经常无故被改，然后抛There is no session with id [xxxx]的异常。我们知道，当请求过来，shiro创建session后，会把sessionId写回到客户端的cookie中。每二个请求过来时，shiro会拿到这个cookie里的sessionId去查找，如果查找不到，...
2024-01-10
30分钟学会如何使用Shiro
本文内容纲要：30分钟学会如何使用Shiro本篇内容大多总结自张开涛的《跟我学Shiro》原文地址：http://jinnianshilongnian.iteye.com/blog/2018936我并没有全部看完，只是选择了一部分对我来说急需在项目中使用的知识加以学习。并且对于大多数第一次接触Shiro的同学来说，掌握这些也应该足够了。一、架构要学...
2024-01-10
Shiro 组件漏洞与攻击链分析
作者：Seaer@深信服千里目安全实验室原文链接：https://mp.weixin.qq.com/s/j_gx9C_xL1LyrnuFFPFsfg1 组件介绍Apache Shiro是一个功能强大且易于使用的Java安全框架，功能包括身份验证，授权，加密和会话管理。使用Shiro的API，可以轻松地快速地保护任何应用程序，范围包括小型的移动应用程序到大型的Web和企业应用...
2024-01-10
深入Shiro反序列化漏洞与内存马
Shiro反序列化漏洞漏洞介绍上图为Shiro默认的登录页面，页面可见：Shiro提供了记住我（RememberMe）的功能。然而，Shiro对rememberMe的cookie做了加密处理，shiro在CookieRememberMeManaer类中将cookie中rememberMe字段内容分别进行：序列化、AES加密、Base64编码，三个操作。而在识别身份的时候，则需要对Cookie里的rememb...
2024-01-10
权限框架之Shiro详解(非原创)
本文内容纲要：- 文章大纲- 一、权限框架介绍- 1. 什么是权限管理- 2. 常见权限框架- 二、Shiro基础介绍- 1. Shiro三个核心组件- 2. Shiro相关类介绍- 3. Shiro 特点- 三、Spring Boot整合Shiro代码实战- 1. Spring Boot基础- 2. 创建Spring Boot的基础项目- 3. Spring Boot与Shiro整合实现用户认证- 四、项目源码...
2024-01-10
Shiro-550 PoC 编写日记
作者：w7ay @ 知道创宇404实验室时间：2020年8月11日深刻认识到不会java搞这类poc的困难，只能做一个无情的搬砖机器。目标是编写Pocsuite3 python版本的Shiro-550 PoC，最好不要依赖其他东西。本文没有新奇的观点，只是记录日常 =_=Shiro识别看到@pmiaowu开源的burp shiro检测插件 https://github.com/pmiaowu/BurpShiroPassiv...
2024-01-10
Shiro 反序列化漏洞利用工具编写思路
作者：Veraxy@QAX CERT原文链接：https://mp.weixin.qq.com/s/WDmj4-2lB-hlf_Fm_wDiOgApache Shiro是一个强大且易用的Java安全框架，执行身份验证、授权、密码和会话管理。目前在Java web应用安全框架中，最热门的产品有Spring Security和Shiro，二者在核心功能上几乎差不多，但Shiro更加轻量级，使用简单、上手更快、学习成...
2024-01-10
shiro 如何捕捉不登录状态？
使用springboot + shiro进行权限控制，不登录状态下访问时会重定向到/login.jsp。如果做前后端分离，使用nginx做代理情况下，就会出现跨域问题。请问，如何自定义不登录状态下访问的返回？或者捕捉不登录状态，然后进行处理？比如: 捕捉无权限异常，从而返回自定义数据...
2024-01-10使用Shiro实现登录成功后跳转到之前的页面
这个问题是之前在做登录注册模块时遇到的需求，如何用户直接访问登录页面，可以控制直接跳到首页，但是如果是用户没有登录直接访问了购物车等需要经过身份认证的页面，或者是因为session超时，用户需要重新登录，那么这时跳回之前的页面就是提升用户体验的事情。实现此功能比较好的方法是...
2024-01-10Shiro与SpringSecurity的比较
我目前正在评估基于Java的安全框架，我是Spring 3.0用户，因此似乎似乎SpringSecurity是正确的选择，但是Spring安全性似乎受到过分复杂的困扰，它似乎并没有使安全性易于实现， Shiro似乎更加连贯，更容易理解。我正在寻找这两个框架之间的利弊清单。回答：我也同意Spring Security对我来说感觉太复杂了。...
2024-01-10
Java-Shiro（二）：HelloWord
新建项目&&配置pom.xml导入包新建maven java project项目；修改pom.xml：<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/maven-v4_0_0.xsd"> ...
2024-01-10
shiro并发人数登录控制的实现代码
在某些项目中可能会遇到如每个账户同时只能有一个人登录或几个人同时登录，如果同时有多人登录：要么不让后者登录；要么踢出前者登录（强制退出）。比如spring security就直接提供了相应的功能；Shiro的话没有提供默认实现，不过可以很容易的在Shiro中加入这个功能。 通过Shiro Filter机制扩展Kickout...
2024-01-10
Shiro 权限绕过漏洞分析(CVE--1957)
作者：Spoock博客：https://blog.spoock.com/2020/05/09/cve-2020-1957/本文为作者投稿，Seebug Paper 期待你的分享，凡经采用即有礼品相送！ 投稿邮箱：paper@seebug.org环境搭建根据 Spring Boot 整合 Shiro ，两种方式全总结！。我配置的权限如下所示：@BeanShiroFilterFactoryBean shiroFilterFactoryBean() { ShiroFilterFactoryBean bean...
2024-01-10
Shiro 控制并发登录人数限制及登录踢出的实现代码
我们经常会有用到，当A 用户在北京登录 ，然后A用户在天津再登录 ，要踢出北京登录的状态。如果用户在北京重新登录，那么又要踢出天津的用户，这样反复。这样保证了一个帐号只能同时一个人使用。那么下面来讲解一下 Shiro 怎么实现这个功能，现在是用到了缓存 Redis 。我们也可以用其他缓存...
2024-01-10
Shiro RememberMe 漏洞检测的探索之路
作者：Koalr @ 长亭科技原文链接：https://mp.weixin.qq.com/s/jV3B6IsPARRaxetZUht57w 本文为作者投稿，Seebug Paper 期待你的分享，凡经采用即有礼品相送！投稿邮箱：paper@seebug.org前言Shiro 是 Apache 旗下的一个用于权限管理的开源框架，提供开箱即用的身份验证、授权、密码套件和会话管理等功能。该框架在 2016 ...
2024-01-10
shiro介绍和使用
1、shiro 包含的组件shiro主要包括认证器（Authenticator），授权器（Authrizer），session会话管理（SessionManager），加密处理（Cryptography），记住我（remember me），对权限的缓存（CacheManager）2、shiro 各组件介绍Subject：主体，可以理解为 与应用交互的用户 subject 里包含用户的所有信息 如 用户信息，用...
2024-01-10
shiro登录认证常见的异常解析
先看看异常之间的继承关系图：用户登录 /** * 用户登录 * * @param email 邮箱 * @param password 密码 * @return */ @ResponseBody @PostMapping("/login") public Result doLogin(String email, String password) { if (StringUtils.isEmpty(email) || Str...
2024-01-10
Yii 框架使用Forms操作详解
目录本文实例讲述了Yii 框架使用Forms操作。分享给大家供大家参考，具体如下：创建模型模型类 EntryForm 代表从用户那请求的数据， 该类如下所示并存储在 models/EntryForm.php 文件中。 请参考类自动加载章节获取更多关于类命名约定的介绍。<?php namespace app\models; use Yii;use yii\base\Model; class EntryForm e...
2024-01-10
shiro框架校验 诡异的问题
为什么冒号 后面的随便改都可以检验通过？回答：用户是否已经给了sys的授权？如果给了的话sys:role:editsys:555都可以被认为是可以通过授权验证的sys可以等同于sys:*shrio不会来验证资源是否存在的。给shiro输入授权资源列表（表达式）shiro跟你输入的资源列表，在根据你需要验证的表达式，来判断是...
2024-01-10
php中Yii框架添加redis
1.从以下地址下载Rediscache插件http://www.yiiframework.com/extension/rediscache/files/redis.zip将插件解压到helloyii/app/protected/extensions中：插件文件部署后的位置应为：helloyii/app/protected/extensions/redis/CredisCache.php在yii的web.php配置文件中添加yii-redis组件2.安装yii2的redis扩展cd /www/html/bas...
2024-01-10
用PHP搭建你的云平台PhalApiPro框架介绍
PhalApi ProPHP开放平台，搭建云平台的最佳选择。基于开源的PhalApi框架打造的商业软件，官方出品。 PhalApi专业版官网：http://pro.yesapi.cn/ （可购买商业授权和源代码） 在线演示：http://open.phalapi.net/ （管理员账号密码：admin / 123456）整体架构及业务流程PhalApi Pro，是一套专注搭建云平台的系统...
2024-01-10
GoORM框架踩坑指南
今天聊聊目前业界使用比较多的 ORM 框架：GORM。GORM 相关的文档原作者已经写得非常的详细，具体可以看这里，这一篇主要做一些 GORM 使用过程中关键功能的介绍，GORM 约定的一些配置信息说明，防止大家在使用过程中踩坑。以下示例代码都可以在 Github ： gorm-demo 中找到。GORM 官方支持的数据库...
2024-01-10
