搜索

[18301] 2021-03-01_Shiro反序列化分析思路及组件检测笔记

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-03-01_Shiro反序列化分析思路及组件检测笔记 S h i r o 反 序 列 化 分 析 思 路 及 组 件 检 测 笔 记 斯 文 快 g u n 去 学 习   H A C K 之 道   2 0 2 1 - 0 3 - 0 1 0 x 0 0   背 景 背 景 分 析 s h i r o 反 序 列 化 漏 洞 的 思 路 和 过 程 ， 漏 洞 用 的 次 数 挺 多 ， 感 觉 不 认 真 走 一 遍 分 析 还 是 缺 点 什 么 。 友 情 提 示 ： 文 章 写 的 感 觉 比 较 亲 民 ， 理 论 上 有 一 些 其 他 语 言 的 基 础 都 可 以 阅 读 ， 比 较 倾 向 于 将 东 西 写 的 详 细 ( 废 话 很 多 ) ， 就 是 那 种 看 帖 按 着 步 骤 走 跟 着 思 考 大 概 自 行 理 解 的 程 度 （ 记 性 不 好 ， 不 写 可 能 会 忘 的 ） 0 x 0 1   梦 开 始 的 地 方 梦 开 始 的 地 方 一 切 都 要 从 官 方 s h i r o 的 某 个 人 提 出 的 问 题 描 述 开 始 说 起   ~   下 图 为 谷 歌 翻 译 结 果 u r l :   h t t p s : / / i s s u e s . a p a c h e . o r g / j i r a / b r o w s e / S H I R O - 5 5 0 通 过 描 述 可 知 ： s h i r o   < =   1 . 2 . 4   存 在 反 序 列 化 漏 洞 s h i r o 的 C o o k i e R e m e m b e r M e M a n a g e r 类 里 对 漏 洞 参 数 r e m e m b e r M e 进 行 序 列 化 ， 加 密 等 操 作 ， 我 理 解 成 这 个 类 和 这 个 漏 洞 有 关 系 ， 可
以 当 成 入 口 点 s h i r o 对 每 次 访 问 都 会 用 到 " 记 住 我 " 的 功 能 进 行 以 下 操 作 ： 检 索   c o o k i e 的 值   / / c o o k i e 中 是 否 有 这 个 参 数 B a s e   6 4 解 码   / / 对 参 数 的 值 进 行 解 码 使 用 A E S 解 密   / / 对 参 数 的 值 再 进 行 解 密 使 用 J a v a 序 列 化 （ ） 反 序 列 化 。 / / 对 解 出 的 参 数 的 值 进 行 反 序 列 化 源 代 码 存 在 默 认 的 A E S 加 密 密 钥 ， 所 有 能 够 查 看 源 代 码 的 人 都 可 以 知 道 默 认 密 钥 是 什 么         以 此 确 定 一 个 需 要 通 过 D e b u g 代 码 来 达 成 的 大 概 目 的 ： 通 过 传 输 好 的 ， 成 功 让 s h i r o 进 行 解 密 到 反 序 列 化 的 步 骤 就 可 以 达 到 执 行 命 令 的 目 的   如 何 控 制 如 何 控 制 r e m e m b e r M e 参 数 的 值 参 数 的 值 如 何 对 如 何 对 p a y l o a d 进 行 加 密 进 行 加 密 根 据 加 密 方 法 对 生 成 恶 意 序 列 化 根 据 加 密 方 法 对 生 成 恶 意 序 列 化 p a y l o a d 进 行 加 密 构 造 利 用 工 具 进 行 加 密 构 造 利 用 工 具 0 x 0 2   科 普 时 间 科 普 时 间 A E S 加 密 算 法 ： 属 于 对 称 加 密 算 法 ， 意 思 就 是 加 密 和 解 密 用 相 同 的 密 钥 加 密 过 程 ： 明 文   - - >   A E S 加 密 函 数   +   密 钥 位 数 ( 1 2 8 / 1 9 2 . 2 5 6 )   +   i v ( 初 始 化 向 量 )   +   密 钥 ( k e y )   +   模 式 ( C B C 和 G C M 等 )   +   p a d d i n g ( 填 充 方 式 ) - - > 密 文 r e m e m b e r M e O b j e c t I n p u t S t r e a m 控 制 r e m e m b e r M e 参 数 的 值 加 密 恶 意 序 列 化 p a y l o a d
I D E A 的 D e b u g 按 钮 功 能 ： S t e p   O v e r   :   单 步 执 行 , 遇 到 方 法 直 接 获 得 返 回 值 而 不 会 进 入 S t e p   I n t o   :   单 步 执 行 , 遇 到 方 法 会 进 入 方 法 ， 不 会 进 入 j d k 实 现 的 方 法 中 F o r c e   S t e p   I n t o   :   可 以 进 入 任 何 的 方 法 ， 比 如 j d k , j a r 包 S t e p   O u t   :   在 方 法 内 会 直 接 获 得 返 回 值 跳 出 该 方 法 R u n   T o   C u r s o r   :   让 程 序 运 行 到 鼠 标 所 在 的 位 置 D r o p   F r a m e   :   返 回 上 一 步 ， 摧 毁 当 前 方 法 获 得 的 值 R e s u m e   P r o g r a m   :   运 行 至 下 一 个 断 点 所 在 位 置 0 x 0 3   分 析 独 白 分 析 独 白 1 .   环 境 配 置 环 境 配 置 研 究 的 前 提 自 然 是 要 搭 建 好 环 境 下 载 s h i r o 的 漏 洞 环 境 ， 这 里 使 用 w a r 包 ， 放 在 t o m c a t 的 w e b a p p s 里 ， 启 动 t o m c a t ， 然 后 w a r 包 自 动 解 析 成 文 件 夹 ， 使 用 I D E A 打 开 此 文 件 夹 顺 便 讲 一 下 I D E A 配 置 调 试 s h i r o R u n   - >   E d i t   C o n f i g u r a t i o n s   - >   点 击 + 号 添 加 T o m c a t S e r v e r ( L o c a l )   - >   S e r v e r 中 配 置 T o m c a t 路 径   - >   选 择 J R E 版 本   - > D e p l o y m e n t 中 点 击 + 号 添 加 t o m c a t 里 生 成 的 s h i r o 文 件 夹   - >   点 击 A p p l y
运 行 起 来
2 .   分 析 过 程 分 析 过 程 首 先 第 一 个 目 的 第 一 个 目 的 是 控 制 r e m e m b e r M e 参 数 的 值 , 先 找 到 参 数 所 在 位 置 ， 对 环 境 的 功 能 先 正 常 使 用 一 遍 当 我 访 问 h t t p : / / l o c a l h o s t : 8 0 8 0 / s h i r o _ w e b _ 1 _ 2 _ 4 _ w a r / l o g i n . j s p   登 录 时 勾 选 R e m e m b e r   M e 后 ， c o o k i e 中 出 现 r e m e m b e r M e 参 数 ， 而 s h i r o 每 次 都 会 对 c o o k i e 中 的 r e m e m b e r M e 来 进 行 解 密 后 反 序 列 化 操 作 来 确 定 访 问 者 权 限 ， 所 以 直 接 在 c o o k i e 传 输 r e m e m b e r M e 参 数 就 可 以 控 制 s h i r o 反 序 列 化 的 值
第 二 个 目 的 第 二 个 目 的 是 获 得 加 密 解 密 的 方 法 ， 以 此 来 自 行 加 密 解 密 恶 意 p a y l o a d 进 行 传 输 反 编 译 此 漏 洞 环 境 中 的 s h i r o 组 件 j a r 包 选 中 s h i r o - c o r e - 1 . 2 . 4 . j a r   - >   右 键   - >   A d d   a s   L i b r a r y   - >   o k 选 中 s h i r o - w e b - 1 . 2 . 4 . j a r   - >   右 键   - >   A d d   a s   L i b r a r y   - >   o k

I D E A 中 按 两 次 s h i f t   搜 索 咱 们 前 面 准 备 当 做 入 口 点 的 C o o k i e R e m e m b e r M e M a n a g e r 类 ， 按 着 函 数 列 表 查 看 后 并 未 发 现 有 关 加 密 的 信 息 ， s o 跟 进 父 类 A b s t r a c t R e m e m b e r M e M a n a g e r 去 看 一 下 进 入 此 类 可 以 发 现 一 个 很 明 显 的 k e y ， 根 据 参 数 名 也 可 以 断 定 是 A E S 加 密 中 所 使 用 的 密 钥 ， 同 时 确 实 是 直 接 写 入 了 代 码 中 ， 符 合 上 面 通 过 描 述 可 知 的 A E S 密 钥 硬 编 码 在 源 代 码 中 的 条 件 D E F A U L T _ C I P H E R _ K E Y _ B Y T E S
这 里 我 在 A b s t r a c t R e m e m b e r M e M a n a g e r 类 函 数 名 为 e n c r y p t ( 加 密 ) 中 下 了 断 点 ， 然 后 在 w e b 端 进 行 登 录 操 作 ， 开 始 d e b u g ， 运 行 至 e n c r y p t 函 数 传 入 参 数 s e r i a l i z e d ， 然 后 点 击 D r o p   F r a m e 返 回 上 个 方 法 发 现 传 入 的 s e r i a l i z e d 的 值 是 我 刚 才 w e b 端 登 录 的 用 户 名 r o o t 序 列 化 后 的 数 据 ， 根 据 运 行 步 骤 函 数 名 猜 测 流 程 是 s h i r o 验 证 完 了 登 录 的 账 号 密 码 ， 然 后 根 据 用 户 名 生 成 序 列 化 数 据 准 备 进 行 加 密 了
再 次 敲 黑 板 D e b u g 按 钮 功 能 ：     S t e p   O v e r   :   单 步 执 行 , 遇 到 方 法 直 接 获 得 返 回 值 而 不 会 进 入     S t e p   I n t o   :   单 步 执 行 , 遇 到 方 法 会 进 入 方 法 ， 不 会 进 入 j d k 实 现 的 方 法 中     F o r c e   S t e p   I n t o   :   可 以 进 入 任 何 的 方 法 ， 比 如 j d k , j a r 包     S t e p   O u t   :   在 方 法 内 会 直 接 获 得 返 回 值 跳 出 该 方 法     R u n   T o   C u r s o r   :   让 程 序 运 行 到 鼠 标 所 在 的 位 置     D r o p   F r a m e   :   返 回 上 一 步 ， 摧 毁 当 前 方 法 获 得 的 值     R e s u m e   P r o g r a m   :   运 行 至 下 一 个 断 点 所 在 位 置 在 调 试 的 变 量 框 里 看 到 加 密 的 设 置 为 A E S 加 密 ， 模 式 为 C B C ， 1 2 8 位 ， 填 充 方 式 为 P K C S 5 P a d d i n g
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理