shiro漏洞复现

shiro介绍

框架介绍

Apache Shiro提供了认证、授权、加密和会话管理功能，将复杂的问题隐藏起
来，提供清晰直观的API使开发者可以很轻松地开发自己的程序安全代码。
Shiro将目标集中于Shiro开发团队所称的“四大安全基石”-认证
（Authentication）、授权（Authorization）、会话管理（Session
Management）和加密（Cryptography）

• 认证（Authentication）：用户身份识别。有时可看作为“登录（login）”，它
  是用户证明自己是谁的一个行为。
• 授权（Authorization）：访问控制过程，好比决定“认证（who）”可以访问
  “什么（what）”.
• 会话管理（SessionManagement）：管理用户的会话（sessions），甚至在
  没有WEB或EJB容器的环境中。管理用户与时间相关的状态。
• 加密（Cryptography）：使用加密算法保护数据更加安全，防止数据被偷
  窥。

判断是否使用shiro框架

cookie中添加rememberMe字段，返回包中发现cookie信息中存在rememberMe=deleteMe

环境搭建

使用docker搭建vulhub靶场
下载vulhub文件

git clone https://github.com/vulhub/vulhub.git

下载之后，有很多的组件、cms漏洞类型
cd 到shiro 文件夹


进入要开启的环境

对靶场进行编译

docker-compose build

运行漏洞环境

docker-compose up -d

查看当前运行环境

docker ps

可以看到开放的端口号
在服务器上搭建时，记得添加一下防火墙策略
访问靶场的8080端口，搭建成功

CVE-2010-3863

漏洞原理

在Apache Shiro 1.1.0以前的版本中，shiro 进行权限验证前未对url 做标准化处
理，攻击者可以构造/、//、/./、/…/ 等绕过权限验证。

影响版本

shiro < 1.1.0和JSecurity 0.9.x

漏洞复现

直接访问/admin时，会重定向到登录页面
访问/./admin

成功登录admin页面

CVE-2016-4437

漏洞原理

属于shiro550漏洞。

Apache Shiro 1.2.4及以前版本中，加密的用户信息序列化后存储在名为
remember-me的Cookie中。攻击者可以使用Shiro的默认密钥伪造用户Cookie，
触发Java反序列化漏洞，进而在目标机器上执行任意命令。
shiro默认使用CookieRememberMeManager，对rememberMe的cookie做了加密
处理，在CookieRememberMeManaer类中将cookie中rememberMe字段内容先后
进行序列化、AES加密、Base64编码操作。在识别身份的时候，需要对Cookie里
的rememberMe字段解密。根据加密的顺序可以推断出解密的顺序为获取cookiebase64解码-AES解密-反序列化。

影响版本

Apache Shiro <= 1.2.4

漏洞复现

工具:https://github.com/SummerSec/ShiroAttack2/releases

找到了key，再爆破利用链

执行命令，成功

CVE-2020-1957

漏洞原理

我们需要分析我们请求的URL在整个项目的传入传递过程。在使用了shiro的项目
中，是我们请求的URL(URL1),进过shiro权限检验(URL2)，昀后到springboot项目
找到路由来处理(URL3)
漏洞的出现就在URL1，URL2和URL3 有可能不是同一个URL，这就导致我们能
绕过shiro的校验，直接访问后端需要首选的URL。本例中的漏洞就是因为这个原
因产生的。
Shiro框架通过拦截器功能来对用户访问权限进行控制，如anon, authc等拦截器。
anon为匿名拦截器，不需要登录即可访问；authc为登录拦截器，需要登录才可以
访问。

影响版本

Apache Shiro < 1.5.2

漏洞复现

点击login

访问/admin时会重定向
因为代码层面加上;就会识别成绕过 后面加个/也可以
URL改为/xxx/…;/admin/绕过了登录，直接访问成功！

shiro-721

拉取环境

文件里没有shiro-721，得自己下载一下
git clone https://github.com/3ndz/Shiro-721.git
cd Shiro-721/Docker
docker build -t shiro-721 .
docker run -p 8080:8080 -d shiro-721

漏洞原理

在用户进行登录的时候，Apache Shiro 提供 RemenberMe 功能，可以存储 cookie，期间使用的是AES-128-CBC进行加密，可以通过Padding Oracle加密生成的攻击代码来重新构造一个恶意的 rememberMe 字段，重新请求网站，进行反序列化攻击，最终导致任意代码的执行，攻击者无需知道 rememberMe 的加密密钥。

漏洞复现

直接使用工具