【漏洞复现】shiro 反序列化 （CVE-2016-4437）

已于 2022-09-11 13:53:45 修改
阅读量793 收藏 4
点赞数 2
分类专栏： 优秀文章 秀秀 文章标签： bash linux 开发语言 shiro 反序化
于 2022-08-14 14:41:55 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_52549196/article/details/126329680
版权
本文详细介绍了Apache Shiro的安全漏洞CVE-2016-4437，该漏洞源于反序列化过程中的AES密钥硬编码。当攻击者知道AES密钥时，可以构造恶意cookie来触发反序列化攻击。文中提供了PoC，展示如何通过Burp抓包检测Shiro漏洞，并给出了利用工具Shiro_exploit和shiro_attack的使用步骤，包括如何检测漏洞及反弹shell。同时提到了扫描工具afrog和Yakit。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

漏洞介绍

Apache Shiro是一个强大且易用的Java安全框架，执行身份验证、授权、密码和会话管理。使用Shiro易于理解的API，开发者可以快速、轻松地获得任何应用程序，从最小的移动应用程序到最大的网络和企业应用程序

在Shiro <= 1.2.4中，反序列化过程中所用到的AES加密的key是硬编码在源码中，当用户勾选RememberMe并登录成功，Shiro会将用户的cookie值序列化，AES加密，接着base64编码后存储在cookie的rememberMe字段中，服务端收到登录请求后，会对rememberMe的cookie值进行base64解码，接着进行AES解密，然后反序列化。由于AES加密是对称式加密（key既能加密数据也能解密数据），所以当攻击者知道了AES key后，就能够构造恶意的rememberMe cookie值从而触发反序列化漏洞

poc

使用burp抓取当前页面数据包，在cookie中添加rememberMe=1，在响应包中显示两个Set-Cookie: rememberMe=deleteMe，说明存在shiro框架可能存在漏洞

了解本专栏 订阅专栏 解锁全文
shiro反序列化[cve_2016_4437]
紫洋的博客
05-09 910
Apache Shiro 1.2.4 及以前版本中，加密的用户信息序列化后存储在名为 remember-me 的 Cookie 中。攻击者可以使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令
Apache Shiro 反序列化漏洞（CVE-2016-4437）
最新发布
2301_80010733的博客
04-22 302
是一个严重的安全漏洞，攻击者可以利用该漏洞通过构造恶意的序列化数据实现远程代码执行（RCE）。
shiro反序列化
weixin_48776804的博客
05-12 1万+
shiro反序列化
详细shiro漏洞复现及利用方法（CVE-2016-4437）
热门推荐
dreamthe的博客
04-26 3万+
该篇文章比较详细的介绍shiro漏洞利用，无论是shiro漏洞图形化工具利用，还是shiro漏洞结合JRMP我觉得比大多数文章都详细，如果你对网上结合JRMP反弹shell不是很明白，非常推荐来看看这篇文章。另外漏洞利用工程中用到的工具以及代码都上传到百度网盘，供大家使用，在文章最后哦。
shiro反序列化漏洞详解与复现（shiro-550/CVE-2016-4437）
ccccai22的博客
08-28 373
shiro反序列化漏洞（shiro-550/CVE-2016-4437）
【渗透测试】-CVE-2016-4437-Shiro550漏洞复现
weixin_65311462的博客
09-13 1237
Shiro550漏洞（CVE-2016-4437）是Apache Shiro框架中的一个高危反序列化漏洞，主要影响版本为1.2.4及以前版本。该漏洞允许攻击者通过RememberMe功能实现远程代码执行（RCE）。及时更新Apache Shiro框架到最新版本，确保已修复该漏洞。对来自用户的输入进行严格的验证和过滤处理，以防止恶意代码的注入。使用安全的加密算法和密钥管理策略来保护敏感数据。
Apache Shiro 1.2.4 反序列化漏洞(CVE-2016-4437)
qq_51163834的博客
06-05 2278
Apache Shiro框架提供了记住密码的功能，用户登录成功后会将用户信息加密，加密过程：用户信息=>序列化=>AES加密=>BASE64编码=>RememberMe Cookie值。如果用户勾选记住密码，那么在请求中会携带cookie，并且将加密信息存放在cookie的rememberMe字段里面，在服务器收到请求对RememberMe值，先进行base64解码然后AES解密在反序列化，这个加密过程如果我们知道AES加密的密钥，那么我们把用户信息替换成恶意命令，就导致了反序列化RCE漏洞。
Apache Shiro 1.2.4反序列化漏洞（CVE-2016-4437）
Bird&Bird
03-11 781
Apache Shiro框架提供了记住我（rememberMe）的功能，关闭了浏览器下次再打开时还是能记住你是谁，下次访问时无需再登录即可访问。Shiro对rememberMe的cookie做了加密处理，shiro在CookieRememberMeManage类中将cookie中rememberMe字段内容分别进行序列化、AES加密、Base64编码。
Apache-Shiro-1.2.4反序列化（CVE-2016-4437）
bqnagus
09-29 230
Apache Shiro 1.2.4及以前版本中，加密的用户信息序列化后存储在名为remember-me的Cookie中。攻击者可以使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令。
Apache Shiro 1.2.4 反序列化漏洞(CVE-2016-4437 )
总有人间一两风，填我十万八千梦
03-28 1万+
Shiro 1.2.4 反序列化漏洞
shiro反序列化漏洞（cve-2016-4437）
jjjj1029056414的博客
11-10 95
cve-2016-4437
Shiro550 反序列化漏洞（CVE-2016-4437）
qq_68163788的博客
06-20 1275
Apache Shiro是一个强大而易用的Java安全框架，专注于提供认证、授权、加密和会话管理等安全功能。Shiro旨在简化安全性，通过直观的设计和简单的API使安全功能的集成变得轻松。开发人员可以选择多种认证方式，灵活地管理用户的角色和权限，以确保对资源的安全访问。此外，Shiro还提供了便捷的加密工具，用于保护敏感数据的存储和传输。综合来看，Apache Shiro是一款功能全面且易于使用的安全框架，为开发人员提供了完善的安全解决方案，帮助他们构建安全可靠的应用程序。
Apache Shiro 反序列化(CVE-2016-4437)复现
m0_48520508的博客
08-03 1737
0x01简介 这个漏洞属于java反序列化漏洞的一种，shiro是java的一个开发框架执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。 官网漏洞说明：https://issues.apache.org/jira/browse/SHIRO-550 Apache Shiro框架提供了记住我（RememberMe）的功能，关闭浏览器再次访问时无需再登录即可访问。shiro默认使用CookieRemember
shiro反序列化分析
2301_79724395的博客
06-11 1695
Apache Shiro 是一个 Java 安全框架，包括如下功能和特性：Authentication：身份认证/登陆，验证用户是不是拥有相应的身份。在 Shiro 中，所有的操作都是基于当前正在执行的用户，这里称之为一个 Subject，在用户任意代码位置都可以轻易取到这个Subject。
Apache Shiro 1.2.4反序列化漏洞（CVE-2016-4437） 复现
yukinorong的博客
06-29 3399
基础知识 序列化和反序列化 反序列化漏洞原因 在Java反序列化中，会调用被反序列化的readObject方法，当readObject方法书写不当时就会引发漏洞。 反序列化的检测 基础库中隐藏的反序列化漏洞 优秀的Java开发人员一般会按照安全编程规范进行编程，很大程度上减少了反序列化漏洞的产生。并且一些成熟的Java框架比如Spring MVC、Struts2等，都有相应的防范反序列化的机制。如果仅仅是开发失误，可能很少会产生反序列化漏洞，即使产生，其绕过方法、利用方式也较为复杂。但
CVE-2016-4437
08-14
CVE-2016-4437是关于Apache Shiro的一个安全漏洞。这个漏洞允许攻击者在受影响的应用程序上执行远程代码执行攻击，进而获得系统访问权限。在此漏洞中，攻击者可以通过反序列化攻击利用Shiro的RememberMe功能，从而执行恶意代码。在早于1.2.4版本的Shiro中，默认使用的是一个固定的AES密钥，攻击者可以使用已知的密钥来反序列化执行恶意代码。 要利用这个漏洞，攻击者可以使用Python脚本或在线工具生成反弹shell的命令，然后将其执行在目标服务器上。这样，攻击者就能够执行任意命令并与攻击机建立一个反向连接。 需要注意的是，利用CVE-2016-4437漏洞进行攻击是非法的，并且可能导致严重的安全后果。为了防止此类漏洞的利用，建议及时更新Shiro版本，并采取其他安全措施，如限制网络访问和使用强密码保护系统。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *2* *3* [Apache Shiro 1.2.4 反序列化漏洞(CVE-2016-4437 )](https://blog.youkuaiyun.com/weixin_60329395/article/details/127399081)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT0_1"}}] [.reference_item style="max-width: 100%"] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

？？？？27282

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值