Shiro反序列化漏洞原理详解及复现

1 环境搭建
采用vulhub的shiro环境

# docker-compose up -d
访问8080端口测试是否成功

2 漏洞原理及利用
Shiro是一款开源安全框架，用于身份验证、授权和会话管理

0x01 漏洞探测
在登录时勾选Remember me，burp抓包可以看到，响应包的set-cookie字段存在rememberMe

后续访问时，cookie中携带rememberMe（由于在repeater测试，因此两次抓到的rememberMe不同）

反之，如果不勾选Remember me，则set-cookie时rememberMe=deleteMe

基于此特征，可以大致判断出网站是否使用shiro，是否存在漏洞

0x02 漏洞原理
此处不对源码进行详细分析，具体分析可以看大佬的这篇
服务端在接收到cookie后，会对cookie进行三部操作

检索rememberMe字段

base64解码（从上图中也可以看出rememberMe字段进行了base64编码）

AES解密，shiro默认加密方式，存在padding oracle攻击及密钥泄露，是可以利用的核心

对AES解密出的内容进行反序列化，此处为漏洞成因

0x03 漏洞利用
首先利用URLDNS链判断是否可以利用
URLDNS链从HashMap.readObject方法起始，经过HashMap.Hash->URL.hashCode->URLStreamHandler.hashCode，最终到URLStreamHandler.getHostAddress发送一次解析请求

利用ysoserial生成URLDNS链

$java -jar ysoserial URLDNS 'http://xxx.dnslog.cn'>1.txt
编写脚本对payload进行加密编码（后续放在github上）
删除JSESSIONID（当该字段存在时，不检测rememberMe），修改rememberMe为加密后的值发送

查看dnslog，成功发送请求，证明存在可利用漏洞

生成CC链，再次按照上述方式发送，执行命令为反弹shell（CC6可打通），注意vulhub靶机本身没有nc，如果使用nc需要先上传

3 其他版本反序列化漏洞
shiro721：1.4.2版本以下仍采用CBC加密，但密钥不再硬编码，因此可以使用padding oracle实现攻击
1.4.2+：加密方式变为GCM

4 防御
升级shiro版本

限制rememberMe字段长度

 零基础入门

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

视频配套资料&国内外网安书籍、文档&工具

当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享