源码部署

这种方法相对复杂，如果不需要分析源码直接用docker就行
前置条件：Maven + Ideal + Tomcat

• 下载方式1：https://codeload.github.com/apache/shiro/zip/shiro-root-1.2.4，然后将文件夹导入ideal
• 下载方式2：将shiro\samples\web目录导入ideal打开

git clone https://github.com/apache/shiro.git && cd shiro
git checkout shiro-root-1.2.4

任选其一即可

---

编辑shiro/samples/web目录下的pom.xml,将jstl的版本修改为1.2

<dependency>
    <groupId>javax.servlet</groupId>
    <artifactId>jstl</artifactId>
    <version>1.2</version>
    <scope>runtime</scope>
</dependency>

在IDEA中导入mvn项目,并配置tomcat环境。


选择sample-web项目，然后点击运行，会自动打开浏览器访问页面

ideal配置tomcat利用的是将网页源码添加到本地tomcat的webapps文件夹下，用的还是本地的tomcat服务器

docker部署

docker pull gqleung/cve-2016-4437
docker run --name shiro-cve-2016-4437 -p 8080:8080  gqleung/cve-2016-4437

或者安装vulnhub和docker-compose，直接docker-compose up -d

参考

• Shiro反序列化漏洞笔记一（原理篇）
• Shiroの起始篇(环境搭建+原理分析)