Apache Shiro反序列化漏洞研究及解决方法

前言

一个阳光明媚的午休，我正惬意的喝着茶听着音乐，享受美好生活的时候，客户的QQ头像闪动了，原以为是出了什么新需求临时需要调整，没想到客户反馈的是平台出现了严重漏洞，不敢小视，抄起电脑开弄

我根据客户给出的安全厂商反馈的问题，总结如下：

1，Shiro反序列化漏洞

2，提到了dnslog.cn平台

了解Shiro反序列化漏洞

参考官方的JIRA文档记录，https://issues.apache.org/jira/browse/SHIRO-550

原因是Shiro的RememberMe出的问题

官方也给出了问题的描述

大概的意思就是：Shiro提供了RememberMe的功能，当用户关闭浏览器，下次再打开浏览器访问时，还是能记住我是谁，无需登录即可访问。其实很多网站都有这功能，继续看，Shiro对RememberMe的Cookie做了加密处理，在CookieRememberMeManaer类中将Cookie中RememberMe字段内容分别进行序列化、AES加密、Base64编码等操作，但是默认的加密AES Key是硬编码进去的，都知道这个Key是什么，所以在逆向操作反序列化、Base64解密的时候，攻击者就可以伪造恶意数据通过反序列化远程执行命令，危害很大很大滴。

dnslog.cn的作用

经过查询，这个网站是一个用来检测带外流量的监控平台，如DNS查询和HTTP请求。它可以帮助安全研究人员在测试漏洞时收集信息（例如SSRF / XXE / RFI / RCE）。简单说，我自己的理解是一个安全人员的工具，收集一些测试过程中DNS查询、NS查询的日志信息，这里我们用来远程执行命令，比如ping XXX.dnslog.cn，然后再去dnslog.cn看看是否是通过服务ping到了他，如果有，证明远程执行了命令

漏洞模拟利用

大概知道了漏洞的原因和利用方式，接下来找到shiro的项目进行模拟攻击，攻击的过程大概就是：

• 启动存在Shiro问题的项目工程，网上有现成的
• 利用网上写好的Exp工具&#