shiro defaultkey无利用_深入利用Shiro反序列化漏洞

最新推荐文章于 2024-06-12 14:42:15 发布
最新推荐文章于 2024-06-12 14:42:15 发布
阅读量3k 收藏 2
点赞数 2
文章标签： shiro defaultkey无利用
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_35734296/article/details/113317505
版权
0x00：背景

shiro反序列化RCE是在实战中一个比较高频且舒适的漏洞，shiro框架在java web登录认证中广泛应用，每一次目标较多的情况下几乎都可以遇见shiro，而因其payload本身就是加密的，无攻击特征，所以几乎不会被waf检测和拦截。

0x01：shiro反序列化的原理

先来看看shiro在1.2.4版本反序列化的原理

这里是shiro拿到cookie后的关键代码，先decrypt再反序列化

1c90a5bf1aa4bf2b2542764260a4e2a3.png

跟到decrypt方法

7c4ad6d06f38eb380a59be28712a9aed.png

调用具体的cipherService，传入加密后的数据和cipherKey进行解密

getDeryptionCipherKey()获取的值也就是这个DEFALUT key，硬编码在程序中

bcbd11ba7b95f2f7d6fe7a17bc97c30a.png

查看CipherService接口的继承关系，发现其仅有一个实现类JcaCipherService(静态可以这样看，动态调试会直接跟进去)

33ead21e8a446f53655e0f0c09657d12.png

查看实现类的decrypt方法，可以看到iv即ciphertext的前16个字节，因为iv由我们随机定义并附加在最后的ciphertext前面，也就是说只要知道key即可构造反序列化payload

b0ed41f1fbb34f1e77a02566197a1513.png

key是硬编码，后续官方修改为获得随机key，但正如一开始所说，存在开源框架配置硬编码key，因此在1.4.2以前很多shiro都可以通过略微修改脚本遍历高频key的方式去攻击，下图举例，github上有很多类似这样的代码

最低0.47元/天 解锁文章
开眼旅行精选
关注
  • 2
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
shiro RCE （反序列化漏洞）
问题很多的小明
06-02 6019
shiro RCE 攻击 这篇讲1.2.4的反序列化漏洞在实战中的记录 1 POC python shiro_check_key.py https://xxx.xxx.xxx.xxx "my0njp.dnslog.cn" DNSlog收到请求（平台地址:http://www.dnslog.cn/） 2 EXP 这里的回显是基于spring框架的，其实可以直接用过监听JMPServer直接执行命令 java -jar ShirobootRce.jar https://xxx.xxx.x
Shiro高版本默认密钥的漏洞利用
12-10 6352
在Shiro反序列化漏洞修复的过程中，如果仅进行Shiro的版本升级，而没有重新生成密钥，那么AES加密的默认密钥扔硬编码在代码里，仍然会存在反序列化风险。01、漏洞案例本案例引用的shi...
X-ray捡洞中遇到的高频漏洞（Shiro默认key、备份文件&敏感目录泄露、Druid未授权访问、phpstudy-nginx解析
begefefsef的博客
04-11 2808
文章首发于Freebuf https://www.freebuf.com/articles/web/304364.html 用 X-Ray 刷洞发现一些出现频率高的漏洞，把漏洞原理和利用方式稍作整理，按照危害排名，低危漏洞可以收集一些信息然后深度利用变高危 文章目录 直接利用 Shiro默认key Sql注入 备份文件&敏感目录泄露 Druid未授权访问 XSS 有条件利用 phpstudy-nginx解析漏洞 dedecms-cve-2018-6910 鸡肋 Apa..
shior反序列化利用
qq_45631782的博客
01-19 478
shior反序列化利用 简介 Apache Shiro 是一个强大的Java安全框架,功能是执行身份验证、授权、密码和会话管理等 成因 rememberMe功能的AES密钥硬编码在代码中，造成密钥泄露。使得恶意攻击者可以利用系统在用户登录并勾选了“记住我”时所生成cookie的流程，构造恶意cookie，服务器收到该cookie后解析出的命令可能会造成信息泄露等安全风险。 利用脚本简介 s.py 文件一般用于靶机上访问vps服务器端口 shiro_command.py 构造命令dpayload的脚本 ys
Shiro有key但无回显利用链子-JRMP大法
最新发布
希望我的博客，能帮上你解决学习中工作中所遇到的问题
06-12 1146
shiro在手天下我有，扫出key直接梭哈getshell，横扫内网。但要是像这种情况，直接下班拜拜跑路，没有链子玩毛线…直到出现了这么一个工具可以通过JRMP协议探测是否存在漏洞，很显然上面工具是做不到的，实战中很可能因此丢掉一个shell。
Shiro使用官方方法生成密钥
m0_67391521的博客
03-28 1725
原文链接：这里，这里！ 0.前言 平台漏洞扫描，扫描到一堆安全问题，其中有个关于Shiro的。主要是说如果项目中shiro key为默认密钥或者网络公开密钥，就可以轻易的导致远程代码执行。 本文框架SSM+shiro。 1.解决思路 (1)升级Shiro版本，为1.7.0以上 (2)自定义一个base 64 AES密钥 (3)使用官方生成的方法提供密钥 本文选择的是第三种办法： 我们在shrio新建一个类。参照下面的代码进行添加： import javax.crypto.KeyGenerator; impo
shiro反序列化漏洞修复（使用随机密钥）
m0_67400973的博客
03-28 2549
说明：shiro低版本使用固定默认密钥，有被攻击的风险，可以升级shiro版本，Apache官方已在1.2.5及以上版本中修复此漏洞，但是此方式有依赖冲突的风险。这里说说不升级版本的解决方案，这方案和官方的方案一样，都是使用生成的随机密钥 1、创建随机生成密钥工具 public class GenerateCipherKey { /** * 随机生成秘钥，参考org.apache.shiro.crypto.AbstractSymmetricCipherService#generateNe
网络安全深入学习第五课——热门框架漏洞（RCE— Apache Shiro 1.2.4反序列化漏洞）
p36273的博客
09-18 811
----- 当程序在进行反序列化时，会自动调用一些函数，以PHP为例有__wakeup()、__destruct()等函数，Java中有readObject()方法等等，但是如果传入函数的参数可以被用户控制的话，用户可以输入一些恶意代码到函数中，从而导致反序列化漏洞。------ Shiro提供了记住我(RememberMe)的功能，比如访问淘宝等网站时，关闭了浏览器下次再打开时还是能够记住上次访问过的用户，下次访问时无需再登录即可访问。根据字节流中保存的对象状态及描述信息，通过反序列化重建对象。
shiro 550 反序列化rce
m0_65096687的博客
06-04 1008
然后我们抓包进行测试,使用shiro框架的主要特征是在返回包中，登录失败或者登录成功没有勾选remeber 按钮，返回数据包有一个remeber delete 字段，如果正确密码登录且勾选了remember me 字段。那么返回数据包就会出现 remember的字段会出现一长串的值。（这是看大佬的文章总结的）加密的用户信息序列化后储存在名为remenber -me的cooike中。Apach shiro 是一款开源安全框架，提供身份验证，授权，会话管理等。这是密码正确勾选了 remember me。
shiro 反序列化漏洞综合利用工具 shiro_attack_by J1anfen
11-05
在提到的 "shiro_attack_by J1anfen" 工具中，重点是针对 Apache Shiro 的一个特定安全问题：反序列化漏洞。 反序列化漏洞通常出现在程序中，当接收到从网络或持久存储中读取的数据，并将其转换回原来的对象实例时...
Shiro反序列化漏洞检测工具
01-05
Apache Shiro是一款强大的Java安全框架，它为...通过了解Shiro反序列化漏洞的原理和防范措施，我们可以更好地保护我们的系统免受此类攻击。同时，使用提供的检测工具进行定期扫描，也能及时发现并修复潜在的安全隐患。
shiro反序列化漏洞利用工具
11-09
图形化界面，该工具支持漏洞检测，请勿用作非法途径，否则后果自负。 Shiro550无需提供rememberMe Cookie，Shiro721需要提供一个有效的rememberMe Cookie 可以手工指定特定的 Key/Gadget/EchoType（支持多选），如果...
shiro反序列化漏洞检测工具，含链接教程
08-17
使用方法如描述所示，通过命令行输入`java -jar shiro_tool.jar`后跟目标服务器的URL，工具会尝试识别并测试该服务器是否存在Shiro反序列化漏洞。`readme.txt`可能是提供关于如何使用该工具以及漏洞原理的详细说明。...
shiro反序列化漏洞暴力破解漏洞检测工具
09-14
1.shiro反序列化漏洞、暴力破解漏洞检测工具源码 2.shiro反序列化漏洞、暴力破解漏洞检测工具jar包 3.shiro反序列化漏洞、暴力破解漏洞检测工具启动方法 4.shiro反序列化漏洞、暴力破解漏洞检测工具使用方法 5.shiro...
shiro漏洞原理以及检测key值原理
Thunderclap的博客
02-08 4565
Shiro 1.2.4及之前的版本中，AES加密的密钥默认硬编码在代码里（SHIRO-550），Shiro 1.2.4以上版本官方移除了代码中的默认密钥，要求开发者自己设置，如果开发者没有设置，则默认动态生成，降低了固定密钥泄漏的风险。升级shiro版本并不能根本解决反序列化漏洞，代码复用会直接导致项目密钥泄漏，从而造成反序列化漏洞。针对公开的密钥集合，我们可以在github上搜索到并加以利用。
X-ray捡洞中遇到的高频漏洞（Shiro默认key、备份文件&敏感目录泄露、Druid未授权访问、phpstudy-nginx解析漏洞、dedecms-cve-2018-6910）
Love&Share
11-10 9526
用 X-Ray 刷洞发现一些出现频率高的漏洞，把漏洞原理和利用方式稍作整理，按照危害排名，低危漏洞可以收集一些信息然后深度利用变高危 文章目录直接利用Shiro默认keySql注入备份文件&敏感目录泄露Druid未授权访问XSS有条件利用phpstudy-nginx解析漏洞dedecms-cve-2018-6910鸡肋Apache Tomcat Examples未删除go-pprof资源监控信息泄露ELSE配置xray反连360提交漏洞 直接利用 Shiro默认key Xray提示：shiro/s.
Apache Shiro 默认密钥致命令执行漏洞（CVE-2016-4437）
谨
12-21 3477
目录 1 漏洞描述 2 漏洞特征 3 修复建议 4 解决办法 4.1 升级shiro到最新版本 4.2 自定义生成AESkey（Apache Shiro使用官方自带的生成AES密钥） 5 参考网址 1 漏洞描述 Apache Shiro 是ASF旗下的一款开源软件，它提供了一个强大而灵活的安全框架，提供身份验证、授权、密码学和会话管理。在Apache Shiro部分旧版本中，加密的用户信息序列化后存储在名为remember-me的Cookie中，攻击者可以使用Shiro的默认密钥...
shiro反序列化漏洞
qq_41696518的博客
06-27 1494
在请求包的Cookie中为 rememberMe字段赋任意值,收到返回包的 Set-Cookie 中存在 rememberMe=deleteMe 字段,说明目标有使用Shiro框架,可以进一步测试。,然后将其作为cookie的rememberMe字段发送,Shiro将rememberMe进行解密并且反序列化,最终造成反序列化漏洞。硬编码要求程序的源代码在输入数据或所需格式发生变化时进行更改，以便最终用户可以通过程序外的某种方式更改细节。在攻击机：192.168.43.131 中生成rememberMe。
heapdump泄露Shiro key从而RCE
渗透测试研究中心
12-05 4449
1. 简介我搭建了一个Spring heapdump泄露shiro key从而RCE的漏洞环境，Github地址：https://github.com/P4r4d1se/heapdump_shiro_vuln漏洞利用条件：Spring Shiro环境存在heapdump文件泄露存在可利用链2. 漏洞原理Shiro相关的漏洞原理和调试分析已经有很多大佬分享过了，这里不再赘述，这里主要针对这个漏洞环...
shiro反序列化漏洞利用
08-13
对于Shiro反序列化漏洞的利用，我可以提供一些基本信息。Shiro是一个Java安全框架，用于身份验证、授权、会话管理等功能。在Shiro中，存在一个反序列化漏洞，攻击者可以利用该漏洞执行远程代码。 攻击者通常会构造...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值