漏洞复现—Shiro rememberMe反序列化漏洞CVE-2016-4437

最新推荐文章于 2025-05-10 17:02:36 发布
原创 最新推荐文章于 2025-05-10 17:02:36 发布 · 1.8k 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#安全 #经验分享 #其他

本文详细介绍了Apache Shiro的rememberMe功能存在的反序列化漏洞（CVE-2016-4437），该漏洞允许攻击者通过构造恶意数据触发远程代码执行。内容包括漏洞原理、影响版本、特征判断以及多种漏洞利用方法，如使用dnslog平台、命令执行和加密反弹。提供了一个GitHub链接以获取相关脚本。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

Shiro rememberMe反序列化漏洞CVE-2016-4437

基础知识

  Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。
  Apache Shiro默认使用了CookieRememberMeManager，用户登录成功后会生成经过加密并编码的cookie，在服务端对rememberMe的cookie值，先base64解码然后AES解密再反序列化，就导致了反序列化RCE漏洞。

漏洞原理

  Apache Shiro处理cookie的流程是：得到rememberMe的cookie值 > Base64解码–>AES解密–>反序列化。然而AES的密钥是硬编码的，就导致了攻击者可以构造恶意数据造成反序列化的RCE漏洞。
攻击时，脚本对命令的处理过程如下：命令=>序列化=>AES加密=>base64编码=>RememberMe Cookie值
  在整个漏洞利用过程中，比较重要的是AES加密的密钥，如果没有修改默认的密钥那么就很容易就知道密钥了,Payload构造起来也是十分的简单。

影响版本

Apache Shiro < 1.2.4

特征判断

返回包中包含rememberMe=deleteMe字段。

在这里插入图片描述

漏洞利用

  复现过程基于同一台云主机，云主机内部靶场镜像开启shrio-CVE-2016-4437，文章内所有IP为同一个，请自行区分攻击方和受害方

  本文涉及的

最低0.47元/天 解锁文章

200万优质内容无限畅学
Apache Shiro 1.2.4反序列化漏洞(Shiro-550)--Shiro rememberMe反序列化漏洞(CVE-2016-4437)
薛定谔嘚喵博客
05-10 2027
Apache Shiro是一款开源安全框架，提供身份验证、授权、密码学和会话管理。Shiro框架直观、易用，同时也能提供健壮的安全性。Apache Shiro 1.2.4及以前版本中，加密的用户信息序列化后存储在名为remember-me的Cookie中。攻击者可以使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令。
shiro反序列化漏洞复现（CVE-2016-4437）
m0_70349048的博客
05-19 780
cookie的key为RememberMe，cookie的值是经过相关信息进行序列化，然后使用AES加密（对称），最后再使用Base64编码处理。，这意味着攻击者只要通过源代码找到AES加密的密钥，就可以构造一个恶意对象，对其进行序列化，AES加密，Base64编码，然后将其作为cookie的Remember Me字段发送，Shiro将RememberMe进行解密并且反序列化，最终造成反序列化漏洞。将生成的payload复制到请求包cookie的位置, 发包。可以看到，已经能够远程执行任意命令了。
shiro-cve_2016_4437漏洞复现
0day
01-29 949
shiro-cve_2016_4437漏洞复现 漏洞概述： 该漏洞发布于2016年6月，属于java反序列化漏洞的一种，Apache Shiro是一个Java安全框架，执行身份验证、授权、密码和会话管理。Apache Shiro框架提供了记住我（RememberMe）的功能，关闭了浏览器下次再打开时还是能记住你是谁，下次访问时无需再登录即可访问。 Shiro对rememberMe的cookie做了加密处理，shiro在CookieRememberMeManaer类中将cookie中rememberMe
shiro反序列化漏洞复现（CVE-2016-4437 ）
wangzhifei1的博客
01-19 2427
Apache Shiro是一个强大且易于使用的Java安全框架，提供认证、授权、加密以及会话管理功能。CVE-2016-4437具体涉及了Apache Shiro在使用记住我（RememberMe）功能时的反序列化漏洞。
Apache Shiro 1.2.4 反序列化漏洞（CVE-2016-4437)
最新发布
spinage的博客
05-10 555
攻击者可利用该漏洞通过伪造的 RememberMe Cookie 触发恶意代码执行
Shiro-CVE-2016-4437 漏洞复现（vulhub靶场搭建）
zzxyccxc的博客
09-12 1420
Apache Shiro框架提供了记住密码的功能（RememberMe），用户登录成功后会将用户信息加密，加密过程:用户信息=>序列化=>AES加密=>base64编码=>RememberMe Cookie值。
shiro反序列化漏洞(CVE-2016-4437)漏洞复现
HEAVEN569的博客
06-21 7182
本文对shiro反序列化漏洞(CVE-2016-4437)，进行了分析复现，介绍了利用工具和常规修复方法
CVE-2016-4437 Apache Shiro 反序列化漏洞复现
yzl_007的博客
07-26 544
Apache Shiro 反序列化漏洞复现（CVE-2016-4437） 漏洞描述 Apache Shiro是一个Java安全框架，执行身份验证、授权、密码和会话管理。只要rememberMe的AES加密密钥泄露，无论shiro是什么版本都会导致反序列化漏洞。 使用burp抓包查看 漏洞原理 Apache Shiro框架提供了记住我（RememberMe）的功能，关闭了浏览器下次再打开时还是能记住你是谁，下次访问时无需再登录即可访问。 Shiro对rememberMe的cookie做了加密处理，shiro
Shiro550 反序列化漏洞（CVE-2016-4437）
qq_68163788的博客
06-20 1319
Apache Shiro是一个强大而易用的Java安全框架，专注于提供认证、授权、加密和会话管理等安全功能。Shiro旨在简化安全性，通过直观的设计和简单的API使安全功能的集成变得轻松。开发人员可以选择多种认证方式，灵活地管理用户的角色和权限，以确保对资源的安全访问。此外，Shiro还提供了便捷的加密工具，用于保护敏感数据的存储和传输。综合来看，Apache Shiro是一款功能全面且易于使用的安全框架，为开发人员提供了完善的安全解决方案，帮助他们构建安全可靠的应用程序。
CVE-2016-4437 Shiro反序列化漏洞复现
weixin_45260839的博客
05-15 3039
CVE-2016-4437 Shiro反序列化漏洞复现
CVE--2016-4437漏洞shiro漏洞复现
THZLYXX的博客
11-12 604
Apache Shiro是一款开源安全框架，提供身份验证、授权、密码学和会话管理。Shiro框架直观、易用，同时也能提供健壮的安全性，可以快速轻松地保护任何应用程序——从最小的移动应用程序到最大的Web 和企业应用程序。
Shiro 漏洞复现（CVE-2016-4437）
qq_42699326的博客
11-23 1086
CVE-2016-4437 是一个认证绕过漏洞，Shiro 在使用 Cookie 存储会话信息时，未对。
[CVE-2016-4437] Apache Shiro 安全框架反序列化漏洞复现与原理详细分析
Specif1c的博客
10-21 5550
Apache Shiro是一个强大且易用的 Java安全框架,执行身份验证、授权、密码和会话管理。shiro 相比于 springsecurity 简单许多，官方号称 10 分钟就能学会。shiro 反序列化漏洞是 Java 经典漏洞，于2016年被挖掘出来，到现在依旧很多系统存在该漏洞，非常值得学习，对加深 shiro 认证机制的理解以及java代码审计颇有帮助。
【渗透测试】-CVE-2016-4437-Shiro550漏洞复现
weixin_65311462的博客
09-13 1282
Shiro550漏洞（CVE-2016-4437）是Apache Shiro框架中的一个高危反序列化漏洞，主要影响版本为1.2.4及以前版本。该漏洞允许攻击者通过RememberMe功能实现远程代码执行（RCE）。及时更新Apache Shiro框架到最新版本，确保已修复该漏洞。对来自用户的输入进行严格的验证和过滤处理，以防止恶意代码的注入。使用安全的加密算法和密钥管理策略来保护敏感数据。
Shiro rememberMe反序列化漏洞(Shiro-550)复现
可爱的我可爱的code
11-19 3352
欢迎到我的博客查看原文：http://www.xpshuai.cn/posts/40239/ 漏洞原理 Apache Shiro框架提供了记住密码的功能（RememberMe），用户登录成功后会生成经过加密并编码的cookie。在服务端对rememberMe的cookie值，先base64解码然后AES解密再反序列化，就导致了反序列化RCE漏洞。 Payload产生的过程： 命令=>序列化=>AES加密=>base64编码=>RememberMe Cookie值 在整个漏洞利用过.
Shiro RememberMe 反序列化漏洞
hbxf_xs的博客
11-27 2252
Apache Shiro 反序列化漏洞 1）、Apache Shiro框架提供了记住我的功能（RememberMe），用户登陆成功后会生成经过加密并编码的cookie。cookie的key为RememberMe，cookie的值是经过对相关信息进行序列化，然后使用aes加密，最后在使用base64编码处理形成的。 在服务端接收cookie值时，按照如下步骤来解析处理： 1、检索RememberMe cookie 的值 2、Base 64解码 3、使用AES解密(加密密钥硬编码) 4、进行反序列化操作（未作
【shiro漏洞复现】CVE-2016-4437反序列化漏洞+CVE-2020-1957权限绕过漏洞
serendipity1130的博客
09-01 591
1.CVE-2016-4437 Apache Shiro 1.2.4及以前版本中，加密的用户信息序列化后存储在名为remember-me的Cookie中。攻击者可以使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令。 1.证明存在shiro漏洞：（win7虚拟机） 打开下载好的ShiroExploit.jar，进入图形化Shiro检测界面，输入靶机ip，点击下一步。 2.选择第一个使用ceye.io进行漏洞检测，点击下一步，开始执行检测。
(CVE-2016-4437) Apache Shiro 反序列化漏洞 复现
m0_58687645的博客
02-08 3279
一、漏洞描述 Apache Shiro是一个Java安全框架，执行身份验证、授权、密码和会话管理。只要rememberMe的AES加密密钥泄露，无论shiro是什么版本都会导致反序列化漏洞。 二、漏洞影响 只要rememberMe的AES加密密钥泄露，无论shiro是什么版本都会导致反序列化漏洞。 三、环境搭建 cd CVE-2016-4437/ docker-compose up -d 四、漏洞复现 访问靶机ip 使用工具进行半自动化注入检测 shell成功写入，使用冰蝎.
apache shiro - 550反序列化漏洞
01-05
### 关于Apache Shiro 550反序列化漏洞详情 对于Apache Shiro存在的反序列化漏洞，具体到CVE编号为CVE-2016-4437而非CVE-2022-42889。此漏洞存在于Apache Shiro<=1.2.4版本中，在返回包的Set-Cookie中存在`rememberMe=deleteMe`字段可以作为识别该漏洞的一个标志[^1]。 当应用程序使用了不安全的方式处理rememberMe功能时，攻击者可以通过构造恶意输入来触发Java对象的反序列化过程，从而执行任意代码。这一特性使得攻击者能够在服务器端运行未经许可的操作，造成严重的安全隐患[^3]。 为了检测是否存在上述提到的安全风险，可借助专门开发出来的工具如ShiroExploit来进行测试；这些工具能够帮助确认目标环境是否容易受到此类攻击的影响，并提供相应的证据支持[^4]。 ### 修复措施建议 针对已知的Apache Shiro反序列化漏洞(CVE-2016-4437)，官方推荐升级至更高版本以获得最新的安全性改进和支持。除了及时更新软件外，还应采取其他预防性策略： - **禁用Remember Me功能**：如果业务逻辑允许的话，考虑完全关闭记住我的选项。 - **加强依赖库管理**：定期审查项目所使用的第三方组件及其版本号，确保它们都是最新且经过充分审计的状态。 - **实施严格的输入验证机制**：无论是来自客户端还是内部服务之间的通信数据都应该被仔细过滤和校验，防止潜在危险载荷进入系统核心区域。 ```bash # 更新Shiro到最新稳定版 mvn install:install-file -Dfile=/path/to/apache-shiro-core-latest.jar \ -DgroupId=org.apache.shiro \ -Dversion=<new_version> \ -Dpackaging=jar ```
评论 4
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值