被当成Shiro的FineReport反序列化

TL;DR 上次打省护遇到的一个站点，最终也是成功挂马了，这个资产的发现过程并不是我，而是同事过了一遍扫描器之后，扫描器爆出是 Shiro 默认密钥再用agent 跑一遍没成功才扔给我的，回头想起来这个利用很有意思也很经典，甚至说可以作为一道 CTF 题目出出来，现在一起来看看吧。 这次打了不少帆软的版本 8 9 10 …