搭个环境 root/secret
原理
shiro反序列化产生原因是因为 shiro 接受了 Cookie 里面 rememberMe 的值,然后去进行 Base64 解密后,再使用 aes 密钥解密后的数据,进行反序列化。
加密过程
在AbstractShiroFilter#doFilterInternal的executeChain下断点。在第359行this.createSubject(request, response)这里,会创建subject,并对cookie进行解密。
一直跟到可以进入到AuthenticatingFilter#executeLogin,用来处理登录
步入53行login函数,经过相关判断后,登陆成功
跟进onSuccessfulLogin函数会来到rememberMeSuccessfulLogin(注意要填正确的账户密码才会进onSuccessfulLogin (token, info, loggedIn))
获取到RememberMeManager不为空,进入AbstractRememberMeManager#onSuccessfulLogin
跟进forgetIdentity函数,它处理了request和response请求
再跟进forgetIdentity
继续跟进removeFrom,该函数会获取了各种配置信息
返回到AbstractRememberMeManager#onSuccessfulLogin ,isRememberMe(token)检查是否登陆时选择Remember Me选项!
继续跟rememberIdentity
一直到这里首先转为bytes,跟convertPrincipalsToBytes函数首先进行序列化,在getCipherService获取到的加密不为空后进入encrypt进行加密
进入encrypt函数,会获取密码服务,在cipherService不为空时进入getEncryptionCipherKey
getEncryptionCipherKey获取的就是kPH+bIxk5D2deZiIxcaaaA==
获取到key后将进入cipherService.encrypt函数,初始化向量后进入各种加密函数
完成后,会回到rememberIdentity函数,rememberSerializedIdentity实现了记住序列化身份功能
在rememberSerializedIdentity里面,进行base64后,将信息加入到cookie中
之后层层返回,直到AuthenticatingFilter#executeLogin处理登录,返回成功登陆
解密过程
在AbstractShiroFilter.class#doFilterInternal的createSubject函数断点,一直跟到DefaultSecurityManager#createSubject
在从resolvePrincipals函数进入getRememberedIdentity,获取RememberMeManager不为空后进入rmm.getRememberedPrincipals(subjectContext)
在其中有两个函数getRememberedSerializedIdentity和convertBytesToPrincipals
先跟进getRememberedSerializedIdentity函数,他会获取cookie的值返回,并进行base64解密
跟进readValue,会将cookie中的remember字段值赋予value并返回
返回到getRememberedSerializedIdentity中,byte[] decoded = Base64.decode(base64)将获取到的value值base64解密,最后return返回
进入另一个convertBytesToPrincipals函数,会先进行解密,然后再进行反序列化
进getCipherService,会获取解密服务AES/CBC/PKCS5Padding
解密服务不为空后进入decrypt,获取CipherService解密服务
跟cipherService.decrypt,会先获取getDecryptionCipherKey(就是kPH+bIxk5D2deZiIxcaaaA==),然后进入JcaCipherService#decrypt进行各种解密
返回到convertBytesToPrincipals函数,在进入deserialize(bytes),其中存在readObject,这就触发了该漏洞
漏洞复现
借用p师傅的poc,最后执行calc.exe
将生成的payload填入rememberMe最后成功执行
小结
从中详细了解到了shiro反序列化的过程,后面会在学习下shiro-721。
新手上路,有什么不对的地方可以指点下
参考链接
https://www.anquanke.com/post/id/228889
https://www.cnblogs.com/liangzai6/p/14505494.html