【每天认识一个漏洞】shiro反序列化漏洞

🌝博客主页：菜鸟小羊

💖专栏：Linux探索之旅 | 网络安全的神秘世界 | 专接本 | 每天学会一个渗透测试工具

以下是在实际业务中遇到的一个漏洞，仅用来学习，通过暴露的 /actuator/heapdump 端点获取 Shiro key 并利用该密钥进行进一步攻击

存在反序列化漏洞的前提是响应头有 “rememberMe”

背景介绍

• Shiro 是一个流行的 Java 安全框架，用于身份验证和授权。
• Shiro key 是 Shiro 加密算法中使用的密钥，通常用于加密用户会话或敏感数据。
• /actuator/heapdump 是 Spring Boot Actuator提供的一个端点，用于导出 Java 应用程序的内存快照（heapdump）。

复现步骤

目标应用程序暴露了 /actuator/heapdump 端点，使用浏览器访问下载

使用工具解密 hepdump 文件获取 shiro key

这里用到的是 shrio_attack 工具

链接：https://pan.baidu.com/s/1kvQEMrMP-PZ4K1eGwAP0_Q?pwd=zbgp
提取码：zbgp

安装好后，在该层文件夹地址栏处输入cmd并回车，打开终端，输入命令：

java -jar shiro_attack-2.2.jar

弹出工具，执行命令