【汇总】shiro反序列化（包括内存马）复现问题

Shiro反序列化漏洞原理解释
https://wiki.bafangwy.com/doc/668/

# 0、复现环境版本

《反序列化渗透与防御NO.719》章节5:04-shiro反序列化漏洞
1、工程：运行`shirodemo`  【针对内存马复现】
配置`tomcat8`、`JDK8`启动

<font color="red">JDK和tomcat版本，一律以IDEA启动的时候控制台输出为准，注意看控制台输出</font>

注意：修改**server.xml**（可以发包修改）
```
maxPostSize="-1"
maxHttpHeaderSize="102400"
```
2、工程：`shiroattack`，运行`ClientMemshell.java`，得到payload
浏览器抓登录包，头字段增加`rememberMe=`，后面跟payload

注意检查：
<font color="red">请求头之间，不能有空行。HTTP请求头和请求体之间，只能有一个空行。粘贴`rememberMe=`以后检查一下有没有多余的空行。</font>

3、访问
http://localhost:8096/shiro/login.jsp?cmd=whoami

![](/media/202411/2024-11-10_161627_5780450.139190574923991.png)

# 1、IDEA打开本地项目，启动以后404的问题
【针对反序列化复现】
注意导入代码部署的文件夹是`samples/web`，不是`web`，有很多同学都选错文件夹，检查一下

![](/media/202405/2024-05-13_224121_7963640.7238603487405983.png)

![](/media/202405/2024-05-13_224158_5351230.4981649818342879.png)

关联问题：https://www.mashibing.com/question/detail/37872

# 2、IDEA打开本地项目，启动后500的问题，报错或者一片空白
![](/media/202307/2023-07-17_214916_9255910.9982475126479853.png)
关联问题：
https://www.mashibing.com/question/detail/75289

问题原因：相关的依赖jar包没有下载下来，所以导致启动报错。
现象：打开pom.xml看到相关jar爆红。
解决办法：配置aliyun源的maven。重新下载依赖。
参考文档：
教程合集—— [IDEA配置Maven](https://wiki.bafangwy.com/doc/608/ "IDEA配置Maven")

其他：注意tomcat版本和JDK版本，需要使用跟课程里面一致的

# 3、（内存马课程：shirodemo）对于本地项目环境，发送payload后，出现400错误
java.lang.IllegalArgumentException: 请求头太大

![](/media/202405/2024-05-31_104305_5554880.2715672646605696.png)

## 解决办法
打开tomcat配置文件`conf/server.xml` （注意，运行用的哪个版本，就改哪个tomcat）
原内容
```
    <Connector port="8080" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="8443" />
```

修改为：
```
    <Connector port="8088" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="8443"
               maxPostSize="-1"
               maxHttpHeaderSize ="102400" />
```

移除tomcat以后

![](/media/202405/2024-05-31_111758_4956050.35523025219290316.png)

![](/media/202405/2024-05-31_111646_9696800.6472253154129437.png)

重新添加项目