Shiro反序列化漏洞原理详解及复现

1 环境搭建

采用vulhub的shiro环境

# docker-compose up -d

访问8080端口测试是否成功

2 漏洞原理及利用

Shiro是一款开源安全框架，用于身份验证、授权和会话管理

0x01 漏洞探测

在登录时勾选Remember me，burp抓包可以看到，响应包的set-cookie字段存在rememberMe

后续访问时，cookie中携带rememberMe（由于在repeater测试，因此两次抓到的rememberMe不同）

反之，如果不勾选Remember me，则set-cookie时rememberMe=deleteMe

基于此特征，可以大致判断出网站是否使用shiro，是否存在漏洞

0x02 漏洞原理

此处不对源码进行详细分析，具体分析可以看大佬的这篇
服务端在接收到cookie后，会对cookie进行三部操作

1. 检索rememberMe字段

2. base64解码（从上图中也可以看出rememberMe字段进行了base64编码）

3. AES解密，shiro默认加密方式，存在padding oracle攻击及密钥泄露，是可以利用的核心

4. 对AES解密出的内容进行反序列化，此处为漏洞成因

0x03 漏洞利用

首先利用URLDNS链判断是否可以利用
URLDNS链从HashMap.readObject方法起始，经过HashMap.Hash->URL.hashCode->URLStreamHandler.hashCode，最终到URLStreamHandler.getHostAddress发送一次解析请求

利用ysoserial生成URLDNS链

$java -jar ysoserial URLDNS 'http://xxx.dnslog.cn'>1.txt

编写脚本对payload进行加密编码（后续放在github上）
删除JSESSIONID（当该字段存在时，不检测rememberMe），修改rememberMe为加密后的值发送

查看dnslog，成功发送请求，证明存在可利用漏洞

生成CC链，再次按照上述方式发送，执行命令为反弹shell（CC6可打通），注意vulhub靶机本身没有nc，如果使用nc需要先上传

3 其他版本反序列化漏洞

shiro721：1.4.2版本以下仍采用CBC加密，但密钥不再硬编码，因此可以使用padding oracle实现攻击
1.4.2+：加密方式变为GCM

4 防御

1. 升级shiro版本

2. 限制rememberMe字段长度