Shiro作为Java的一个安全框架，其中提供了登录时的RememberMe功能，让用户在浏览器关闭重新打开后依然能恢复之前的会话。而实现原理就是将储存用户身份的对象序列化并通过AES加密、base64编码储存在cookie中，只要能伪造cookie就能让服务器反序列化任意对象，而1.2.4版本及以下AES加密时采用的key是硬编码在代码中的，这就为伪造cookie提供了机会。只要rememberMe的AES加密密钥泄露，无论shiro是什么版本都会导致反序列化漏洞。
Shadowsocks是一个基于SOCKS5的代理软件，其主要用途就不用解释了， 其协议存在漏洞，可以通过重定向攻击解密shadowsocks数据包密文。以下总结参考自Zhiniang Peng的研究成果
FastJson是一个Java语言编写的高性能功能完善的JSON库，可以将数据在JSON和Java Object之间互相转换，涉及到序列化和反序列化的操作，由此从1.2.24版本便开始爆出反序列化漏洞
一开始是学习FastJson反序列化的POC，然后发现欠缺不少知识，遂来补一下，收获良多，总结下笔记
所谓JDK反序列化Gadgets就是不同于利用Apache-CommonsCollections这种外部库，而是只利用JDK自带的类所构造的
搭了一下午博客，终于是弄好了。以前博客咕了半年，这次不巧遇见疫情，延迟一月开学，想来这个寒假前半部分都在划水（细想甚至这半年也貌似没怎么进步），究其原因还是自己有点浮躁了，但被迫宅家的这段日子发现能找回以前钻研问题那种单纯乐趣与满足，趁着这大好时间，换套系统，开始写写学习笔记，督促督促自己，早日脱离菜鸟行列！