Java反序列化：Shiro-550反序列化漏洞深入剖析

漏洞成因

为了让浏览器或服务器重启后用户不丢失状态，Shiro支持将持久化信息序列化并加密后保存在Cookie的remeberMe字段中，下次读取时再进行反序列化。但是在Shiro 1.2.4版本之前内置了一个默认且固定的加密Key，导致攻击者可以伪造任意的remeberMe Cookie，进而触发反序列化漏洞。

指纹识别