Apache Shiro-RememberMe 反序列化漏洞

1.资产查找

Fofa: app="Apache-Shiro"

2.影响版本

Apache Shiro <= 1.2.4

3.漏洞描述

 Apache Shiro默认使用了CookieRememberMeManager，其处理cookie的流程是：得到rememberMe的cookie值 >  Base64解码–>AES解密–>反序列化。然而AES的密钥是硬编码的，就导致了攻击者可以构造恶意数据造成反序列化的RCE漏洞。可造成远程命令执行，完全控制服务器权限。

目前已经出了图形化工具，可直接Getshell。

工具下载地址：https://github.com/feihong-cs/ShiroExploit/releases/tag/v2.42

4.漏洞复现

1）输入目标URL

2）选择“使用回显进行漏洞检测”

3）远程执行命令whoami、ifconfig等