Shiro 550、721

原创

已于 2022-02-10 19:59:41 修改 · 3.9k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#安全 #web安全 #https

于 2022-02-10 18:09:53 首次发布

Apache Shiro 是一个功能强大且易于使用的 Java 安全框架，它用于处理身份验证，授权，加密和会话管理

在默认情况下 , Apache Shiro 使用 CookieRememberMeManager 对用户身份进行序列化/反序列化 , 加密/解密和编码/解码 , 以供以后检索 .
因此 , 当 Apache Shiro 接收到未经身份验证的用户请求时 , 会执行以下操作来寻找他们被记住的身份.
从请求数据包中提取 Cookie 中 rememberMe 字段的值，对提取的 Cookie 值进行 Base64 解码，对 Base64 解码后的值进行 AES 解密，对解密后的字节数组调用 ObjectInputStream.readObject() 方法来反序列化.
但是默认AES加密密钥是 “硬编码” 在代码中的 . 因此 , 如果服务端采用默认加密密钥 , 那么攻击者就可以构造一个恶意对象 , 并对其进行序列化 , AES加密 , Base64编码 , 将其作为 Cookie 中 rememberMe 字段值发送 . Apache Shiro 在接收到请求时会反序列化恶意对象 , 从而执行攻击者指定的任意代码 .

550

Shiro 550 反序列化漏洞存在版本：shiro <1.2.4，产生原因是因为shiro接受了Cookie里面rememberMe的值，然后去进行Base64解密后，再使用aes密钥解密后的数据，进行反序列化。

构造该值为一个cc链序列化后的值进行该密钥aes加密后进行base64加密，反序列化payload内容后就可以命令执行

环境配置

在vulhub获得shiro的镜像
docker cp shirodemo-1.0-SNAPSHOT.jar ~/
导入到idea

另一种方法：
https://codeload.github.com/apache/shiro/zip/shiro-root-1.2.4
在shiro/web中，配置pom.xml
在这里插入图片描述可能在后面的debugger中，访问index.jsp时会500，可以尝试修改根pom.xml【shiro-root/pom.xml】

确保shiro/web的pom.xml依赖都下载了