搜索

[14834] 2019-11-19_甲方视角：SHIRO-721临时修复方案

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-11-19_甲方视角：SHIRO-721临时修复方案 甲 方 视 角 ： S H I R O - 7 2 1 临 时 修 复 方 案 V e n s c o r   F r e e B u f   2 0 1 9 - 1 1 - 1 9 0 x 0 0   问 题 简 介 问 题 简 介 1 4 日 晚 上 ， 发 现 了 一 个 公 开 的 S h i r o 的 R C E 漏 洞 ， 作 为 在 甲 方 工 作 了 挺 久 的 人 ， 一 听 S h i r o 立 马 虎 躯 一 震 ， 来 不 及 分 析 p o c ， 立 马 先 得 确 认 公 司 业 务 是 否 受 到 影 响 。 确 定 了 影 响 后 ， 立 马 看 怎 么 修 复 漏 洞 。 结 果 悲 催 的 时 候 出 现 了 ， 这 个 漏 洞 官 方 居 然 没 有 升 级 修 复 。 这 让 笔 者 想 起 差 不 多 半 年 前 给 S h i r o 官 方 推 的 一 个 加 固 ， 结 果 一 直 没 有 收 到 官 方 回 复 ， 直 接 杳 无 音 讯 。 受 影 响 的 组 件 漏 洞 版 本 受 影 响 的 组 件 漏 洞 版 本 以 下 组 件 的 全 量 版 本 均 收 到 漏 洞 影 响 ， 当 然 这 个 这 个 漏 洞 需 要 可 以 登 录 才 能 利 用 。 0 x 0 1   问 题 分 析 问 题 分 析 参 考 h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 1 9 2 8 1 9 。 笔 者 看 漏 洞 分 析 ， 大 致 清 楚 了 漏 洞 原 理 及 其 触 发 条 件 ， 但 来 不 及 分 析 更 多 细 节 。 也 更 加 聚 焦 于 怎 么 让 业 务 修 复 这 个 漏 洞 。 大 致 想 了 下 几 种 常 见 的 漏 洞 处 理 办 法 ： （ 1 ） 升 级 ： 上 面 说 了 官 方 没 有 解 决 ， p a s s （ 2 ） 下 线 业 务 ： 除 非 业 务 真 的 没 有 用 了 ， 否 则 面 谈 ， p a s s （ 3 ） W A F 拦 截 E X P ： S h i r o 的 E X P 是 加 密 值 ， 特 征 不 够 明 显 （ 这 里 先 不 谈 绕 过 ） ， 而 且 有 些 甲 方 的 有 些 业 务 还 没 接 W A F ， p a s s 。 如 此 看 来 ， 似 乎 只 能 希 望 攻 击 者 没 有 账 号 不 来 搞 事 情 了 。 但 是 想 想 ， 这 么 搞 也 太 不 负 责 任 ， 并 且 业 务 还 在 等 着 方 案 ， 通 知 了 业 务 有 没 有 修 复 方 案 难 免 有 点 有 损 安 全 部 门 门 脸 。 是 在 没 有 办 法 ， 只 能 想 着 自 己 出 修 复 方 案 了 。 经 过 和 业 务 沟 通 ， 发 现 有 些 业 务 虽 然 用 了 S h i r o 框 架 ， 但 是 并 不 需 要 r e m e m b e r M e 这 个 功 能 ， 于 是 想 着 ， 能 不 能 找 到 个 配 置 方 法 ， 把 这 个 功 能 直 接 干 掉 ， 经 过 分 析 ， 在 极 短 的 时 间 内 没 有 发 现 。 于 是 又 想 ， S h i r o 这 个 漏 洞 不 是 从 F i l t e r 触 发 的 吗 ， 能 不 能 在 F i l t e r 做 点 事 情 ， 把 r e m e m b e r M e 这 个 功 能 干 掉 。 于 是 ， 有 两 个 思 路 来 干 掉 r e m e m b e r M e 功 能 。 思 路 （ 1 ） ： 提 供 一 个 F i l t e r ， 在 S h i r o 的 F i l t e r 被 调 用 前 就 调 用 ， 然 后 将 c o o k i e 里 的 r e m e m b e r M e 直 接 置 空 。 思 路 （ 2 ） ： 覆 盖 S h i r o   F i l t e r 的 一 些 行 为 ， 然 后 去 掉 r e m e m b e r M e 功 能 。 思 路 （ 1 ） 实 现 起 来 很 简 单 ， 但 是 有 个 问 题 ， 就 怕 业 务 配 置 f i l e r 的 顺 序 错 误 ， 导 致 问 题 没 有 修 复 。 所 有 想 着 用 思 路 （ 2 ） 。 于 是 问 题 聚 焦 于 怎 么 找 到 S h i r o 的 F i l t e r ， 以 及 怎 么 覆 盖 其 行 为 。 1 . 1   寻 找 寻 找 S h i r o 的 的 F i l t e r 用 p o c 直 接 大 断 点 ， 发 现 F i l t e r 是 S h i r o F i l t e r F a c t o r y B e a n $ S p r i n g S h i r o F i l t e r 。 但 是 发 现 这 个 内 部 类 是 个 f i n a l   C l a s s ， 因 此 是 没 有 办 法 被 继 承 的 。 1 . 2   覆 盖 默 认 的 覆 盖 默 认 的 F i l t e r 由 于 这 个 内 部 类 是 个 f i n a l   C l a s s ， 只 能 去 更 底 一 级 覆 盖 。 我 们 看 下 S h i r o 的 配 置 ： < d e p e n d e n c y >         < g r o u p I d > o r g . a p a c h e . s h i r o < / g r o u p I d >         < a r t i f a c t I d > s h i r o - c o r e < / a r t i f a c t I d > < / d e p e n d e n c y > p r i v a t e   s t a t i c   f i n a l   c l a s s   S p r i n g S h i r o F i l t e r   e x t e n d s   A b s t r a c t S h i r o F i l t e r   {                 p r o t e c t e d   S p r i n g S h i r o F i l t e r ( W e b S e c u r i t y M a n a g e r   w e b S e c u r i t y M a n a g e r ,   F i l t e r C h a i n R e s o l v e r   r e s o l v e r )   {                         s u p e r ( ) ;                         i f   ( w e b S e c u r i t y M a n a g e r   = =   n u l l )   {                                 t h r o w   n e w   I l l e g a l A r g u m e n t E x c e p t i o n ( " W e b S e c u r i t y M a n a g e r   p r o p e r t y   c a n n o t   b e   n u l l . " ) ;                         }                         s e t S e c u r i t y M a n a g e r ( w e b S e c u r i t y M a n a g e r ) ;                         i f   ( r e s o l v e r   ! =   n u l l )   {                                 s e t F i l t e r C h a i n R e s o l v e r ( r e s o l v e r ) ;                         }                 }         } < f i l t e r >                 < ! - - f i l t e r   配 置 - - >                 < f i l t e r - n a m e > s h i r o F i l t e r < / f i l t e r - n a m e >                 < f i l t e r - c l a s s > o r g . s p r i n g f r a m e w o r k . w e b . f i l t e r . D e l e g a t i n g F i l t e r P r o x y < / f i l t e r - c l a s s >
于 是 ， 我 们 发 现 可 以 复 写 S h i r o F i l t e r F a c t o r y B e a n 类 ， 然 后 让 业 务 使 用 我 们 配 置 的 类 ， 从 而 覆 盖 S h i r o   F i l t e r 默 认 的 行 为 ， 去 除 r e m e m b e r M e 功 能 。 于 是 得 到 以 下 的 临 时 p a c t c h 方 案 。 这 里 强 调 几 个 注 意 点 ： （ 1 ） 复 写 的 类 出 得 r e q u e s t 是 S e r v l e t R e q u e s t 实 例 ， 没 有 操 作 c o o k i e 的 方 法 。 实 际 上 在 t o m c a t 下 ， 这 个 类 是 R e q u e s t F a c a d e 实 例 。 （ 2 ） R e q u e s t F a c a d e 实 例 写 代 码 时 需 要 加 额 外 的 p r o v i d e d   m a v e n 依 赖 。 由 于 这 个 类 和 t o m c a t 版 本 有 关 ， 因 此 需 要 测 兼 容 性 ， 不 通 用 ， 可 以 用 反 射 方 式 解 决 。 0 x 0 2   临 时 临 时 p a t c h （ 1 ） 在 源 码 中 添 加 以 下 类                 < i n i t - p a r a m >                         < p a r a m - n a m e > t a r g e t F i l t e r L i f e c y c l e < / p a r a m - n a m e >                         < p a r a m - v a l u e > t r u e < / p a r a m - v a l u e >                 < / i n i t - p a r a m > < / f i l t e r > < b e a n   i d = " s h i r o F i l t e r "   c l a s s = " o r g . a p a c h e . s h i r o . s p r i n g . w e b . S h i r o F i l t e r F a c t o r y B e a n " >         < ! - - 省 略 - - > < / b e a n > i m p o r t   o r g . a p a c h e . s h i r o . m g t . S e c u r i t y M a n a g e r ; i m p o r t   o r g . a p a c h e . s h i r o . s p r i n g . w e b . S h i r o F i l t e r F a c t o r y B e a n ; i m p o r t   o r g . a p a c h e . s h i r o . w e b . f i l t e r . m g t . F i l t e r C h a i n M a n a g e r ; i m p o r t   o r g . a p a c h e . s h i r o . w e b . f i l t e r . m g t . F i l t e r C h a i n R e s o l v e r ; i m p o r t   o r g . a p a c h e . s h i r o . w e b . f i l t e r . m g t . P a t h M a t c h i n g F i l t e r C h a i n R e s o l v e r ; i m p o r t   o r g . a p a c h e . s h i r o . w e b . m g t . W e b S e c u r i t y M a n a g e r ; i m p o r t   o r g . a p a c h e . s h i r o . w e b . s e r v l e t . A b s t r a c t S h i r o F i l t e r ; i m p o r t   o r g . s p r i n g f r a m e w o r k . b e a n s . f a c t o r y . B e a n I n i t i a l i z a t i o n E x c e p t i o n ; i m p o r t   j a v a x . s e r v l e t . F i l t e r C h a i n ; i m p o r t   j a v a x . s e r v l e t . S e r v l e t E x c e p t i o n ; i m p o r t   j a v a x . s e r v l e t . S e r v l e t R e q u e s t ; i m p o r t   j a v a x . s e r v l e t . S e r v l e t R e s p o n s e ; i m p o r t   j a v a x . s e r v l e t . h t t p . C o o k i e ; i m p o r t   j a v a x . s e r v l e t . h t t p . H t t p S e r v l e t R e q u e s t ; i m p o r t   j a v a . i o . I O E x c e p t i o n ; i m p o r t   j a v a . l a n g . r e f l e c t . F i e l d ; / * *   *   @ a u t h o r :   V e n s c o r   *   @ d a t e :   2 0 1 9 / 1 1 / 1 4   *   @ d e s c r i p t i o n   * / p u b l i c   c l a s s   S a f e S h i r o F i l t e r F a c t o r y B e a n   e x t e n d s   S h i r o F i l t e r F a c t o r y B e a n   {         @ O v e r r i d e         p r o t e c t e d   A b s t r a c t S h i r o F i l t e r   c r e a t e I n s t a n c e ( )   t h r o w s   E x c e p t i o n   {                 S e c u r i t y M a n a g e r   s e c u r i t y M a n a g e r   =   g e t S e c u r i t y M a n a g e r ( ) ;                 i f   ( s e c u r i t y M a n a g e r   = =   n u l l )   {                         S t r i n g   m s g   =   " S e c u r i t y M a n a g e r   p r o p e r t y   m u s t   b e   s e t . " ;                         t h r o w   n e w   B e a n I n i t i a l i z a t i o n E x c e p t i o n ( m s g ) ;                 }                 i f   ( ! ( s e c u r i t y M a n a g e r   i n s t a n c e o f   W e b S e c u r i t y M a n a g e r ) )   {                         S t r i n g   m s g   =   " T h e   s e c u r i t y   m a n a g e r   d o e s   n o t   i m p l e m e n t   t h e   W e b S e c u r i t y M a n a g e r   i n t e r f a c e . " ;                         t h r o w   n e w   B e a n I n i t i a l i z a t i o n E x c e p t i o n ( m s g ) ;                 }                 F i l t e r C h a i n M a n a g e r   m a n a g e r   =   c r e a t e F i l t e r C h a i n M a n a g e r ( ) ;                 / / E x p o s e   t h e   c o n s t r u c t e d   F i l t e r C h a i n M a n a g e r   b y   f i r s t   w r a p p i n g   i t   i n   a                 / /   F i l t e r C h a i n R e s o l v e r   i m p l e m e n t a t i o n .   T h e   A b s t r a c t S h i r o F i l t e r   i m p l e m e n t a t i o n s                 / /   d o   n o t   k n o w   a b o u t   F i l t e r C h a i n M a n a g e r s   -   o n l y   r e s o l v e r s :                 P a t h M a t c h i n g F i l t e r C h a i n R e s o l v e r   c h a i n R e s o l v e r   =   n e w   P a t h M a t c h i n g F i l t e r C h a i n R e s o l v e r ( ) ;                 c h a i n R e s o l v e r . s e t F i l t e r C h a i n M a n a g e r ( m a n a g e r ) ;                 / / N o w   c r e a t e   a   c o n c r e t e   S h i r o F i l t e r   i n s t a n c e   a n d   a p p l y   t h e   a c q u i r e d   S e c u r i t y M a n a g e r   a n d   b u i l t                 / / F i l t e r C h a i n R e s o l v e r .     I t   d o e s n ' t   m a t t e r   t h a t   t h e   i n s t a n c e   i s   a n   a n o n y m o u s   i n n e r   c l a s s                 / / h e r e   -   w e ' r e   j u s t   u s i n g   i t   b e c a u s e   i t   i s   a   c o n c r e t e   A b s t r a c t S h i r o F i l t e r   i n s t a n c e   t h a t   a c c e p t s                 / / i n j e c t i o n   o f   t h e   S e c u r i t y M a n a g e r   a n d   F i l t e r C h a i n R e s o l v e r :                 r e t u r n   n e w   S a f e S h i r o F i l t e r F a c t o r y B e a n . S p r i n g S h i r o F i l t e r ( ( W e b S e c u r i t y M a n a g e r )   s e c u r i t y M a n a g e r ,   c h a i n R e s o l v e r ) ;         }         p r i v a t e   s t a t i c   f i n a l   c l a s s   S p r i n g S h i r o F i l t e r   e x t e n d s   A b s t r a c t S h i r o F i l t e r   {                 p r o t e c t e d   S p r i n g S h i r o F i l t e r ( W e b S e c u r i t y M a n a g e r   w e b S e c u r i t y M a n a g e r ,   F i l t e r C h a i n R e s o l v e r   r e s o l v e r )   {                         i f   ( w e b S e c u r i t y M a n a g e r   = =   n u l l )   {                                 t h r o w   n e w   I l l e g a l A r g u m e n t E x c e p t i o n ( " W e b S e c u r i t y M a n a g e r   p r o p e r t y   c a n n o t   b e   n u l l . " ) ;                         }   e l s e   {                                 t h i s . s e t S e c u r i t y M a n a g e r ( w e b S e c u r i t y M a n a g e r ) ;                                 i f   ( r e s o l v e r   ! =   n u l l )   {                                         t h i s . s e t F i l t e r C h a i n R e s o l v e r ( r e s o l v e r ) ;                                 }                         }                 }                 @ O v e r r i d e
（ 2 ） 替 换 原 始 的 S h i r o F i l t e r   B e a n S p r i n g M V C 中 配 置 示 例 ： S p r i n g B o o t 配 置 示 例 ： 在 原 来 配 置 S h i r o 的 C o n f i g 类 中 修 改                 @ O v e r r i d e                 p r o t e c t e d   v o i d   d o F i l t e r I n t e r n a l ( S e r v l e t R e q u e s t   s e r v l e t R e q u e s t ,   S e r v l e t R e s p o n s e   s e r v l e t R e s p o n s e ,   F i l t e r C h a i n   c h a i n )   t h r o w s   S e r v l e t E x c e p t i o n ,   I O E x c e p t i o n   {                         H t t p S e r v l e t R e q u e s t   r e q u e s t   =   ( H t t p S e r v l e t R e q u e s t )   s e r v l e t R e q u e s t ;                         C o o k i e [ ]   c o o k i e s   =   r e q u e s t . g e t C o o k i e s ( ) ;                         b o o l e a n   n e e d R e s e t C o o k i e   =   f a l s e ;                         i f   ( c o o k i e s   ! =   n u l l   & &   c o o k i e s . l e n g t h   >   0 )   {                                 f o r   ( C o o k i e   c o o k i e   :   c o o k i e s )   {                                         i f   ( c o o k i e . g e t N a m e ( ) . e q u a l s I g n o r e C a s e ( " r e m e m b e r M e " ) )   {                                                 c o o k i e . s e t V a l u e ( " " ) ;                                                 n e e d R e s e t C o o k i e   =   t r u e ;                                                 b r e a k ;                                         }                                 }                         }                         i f   ( n e e d R e s e t C o o k i e )   {                                 O b j e c t   i n n e r R e q   =   g e t F i e l d ( r e q u e s t ,   " r e q u e s t " ) ;                                 s e t F i e l d ( i n n e r R e q ,   " c o o k i e s " ,   c o o k i e s ) ;                                 s e t F i e l d ( r e q u e s t ,   " r e q u e s t " ,   i n n e r R e q ) ;                         }                         s u p e r . d o F i l t e r I n t e r n a l ( s e r v l e t R e q u e s t ,   s e r v l e t R e s p o n s e ,   c h a i n ) ;                 }                 p u b l i c   v o i d   s e t F i e l d ( O b j e c t   i n s t a n c e ,   S t r i n g   f i e l d N a m e ,   O b j e c t   f i e l d V a l u e )   {                         t r y   {                                 F i e l d   f i e l d   =   i n s t a n c e . g e t C l a s s ( ) . g e t D e c l a r e d F i e l d ( f i e l d N a m e ) ;                                 f i e l d . s e t A c c e s s i b l e ( t r u e ) ;                                 f i e l d . s e t ( i n s t a n c e ,   f i e l d V a l u e ) ;                         }   c a t c h   ( E x c e p t i o n   e )   {                                 t h r o w   n e w   R u n t i m e E x c e p t i o n ( ) ;                         }                 }                 p u b l i c   s t a t i c   O b j e c t   g e t F i e l d ( O b j e c t   i n s t a n c e ,   S t r i n g   f i e l d N a m e )   {                         t r y   {                                 F i e l d   f i e l d   =   i n s t a n c e . g e t C l a s s ( ) . g e t D e c l a r e d F i e l d ( f i e l d N a m e ) ;                                 f i e l d . s e t A c c e s s i b l e ( t r u e ) ;                                 r e t u r n   f i e l d . g e t ( i n s t a n c e ) ;                         }   c a t c h   ( E x c e p t i o n   e )   {                                 t h r o w   n e w   R u n t i m e E x c e p t i o n ( ) ;                         }                 }         } } < f i l t e r >                 < ! - - f i l t e r   配 置 - - >                 < f i l t e r - n a m e > s h i r o F i l t e r < / f i l t e r - n a m e >                 < f i l t e r - c l a s s > o r g . s p r i n g f r a m e w o r k . w e b . f i l t e r . D e l e g a t i n g F i l t e r P r o x y < / f i l t e r - c l a s s >                 < i n i t - p a r a m >                         < p a r a m - n a m e > t a r g e t F i l t e r L i f e c y c l e < / p a r a m - n a m e >                         < p a r a m - v a l u e > t r u e < / p a r a m - v a l u e >                 < / i n i t - p a r a m > < / f i l t e r > < ! - - 替 换 原 始 的 S h i r o   B e a n 配 置 - - > < b e a n   i d = " s h i r o F i l t e r "   c l a s s = " [ 包 名 ] . S a f e S h i r o F i l t e r F a c t o r y B e a n " >         < ! - - 中 间 的 配 置 不 需 要 做 任 何 改 变 - - > < / b e a n > @ B e a n ( n a m e   =   " s h i r o F i l t e r " ) / / 返 回 值 修 改 ： S h i r o F i l t e r F a c t o r y B e a n 改 为 S a f e S h i r o F i l t e r F a c t o r y B e a n p u b l i c   S a f e S h i r o F i l t e r F a c t o r y B e a n   g e t S h i r o F i l t e r F a c t o r y B e a n ( D e f a u l t W e b S e c u r i t y M a n a g e r   s e c u r i t y M a n a g e r ,                                                                                                                 C a s F i l t e r   c a s F i l t e r )   {         / / 这 个 地 方 改 成 S a f e S h i r o F i l t e r F a c t o r y B e a n         / / S h i r o F i l t e r F a c t o r y B e a n   s h i r o F i l t e r F a c t o r y B e a n   =   n e w   S h i r o F i l t e r F a c t o r y B e a n ( ) ;   / /   这 个 地 方 替 换 掉         S a f e S h i r o F i l t e r F a c t o r y B e a n   s h i r o F i l t e r F a c t o r y B e a n   =   n e w   S a f e S h i r o F i l t e r F a c t o r y B e a n ( ) ;   / /   这 个 地 方 替 换 掉         s h i r o F i l t e r F a c t o r y B e a n . s e t S e c u r i t y M a n a g e r ( s e c u r i t y M a n a g e r ) ;         S t r i n g   l o g i n U r l   =   c a s . g e t S e r v e r U r l P r e f i x ( )   +   " / l o g i n ? s e r v i c e = "   +   c a s . g e t C l i e n t H o s t U r l ( )   +   c a s . g e t C a s F i l t e r U r l P a t t e r n ( ) ;         s h i r o F i l t e r F a c t o r y B e a n . s e t L o g i n U r l ( l o g i n U r l ) ;         s h i r o F i l t e r F a c t o r y B e a n . s e t S u c c e s s U r l ( " / " ) ;         / /   未 授 权   u r l         s h i r o F i l t e r F a c t o r y B e a n . s e t U n a u t h o r i z e d U r l ( m a r k P r o p e r t i e s . g e t S h i r o ( ) . g e t U n a u t h o r i z e d U r l ( ) ) ;         M a p < S t r i n g ,   F i l t e r >   f i l t e r s   =   n e w   H a s h M a p < > ( ) ;         f i l t e r s . p u t ( " c a s F i l t e r " ,   c a s F i l t e r ) ;
0 x 0 3   写 在 最 后 写 在 最 后 S h i r o 还 有 其 他 配 置 方 式 ， 可 以 类 似 处 理 。 笔 者 水 平 有 限 ， 如 果 不 当 之 处 ， 还 望 不 吝 指 正 。 精 彩 推 荐 精 彩 推 荐         f i l t e r s . p u t ( " c a s F i l t e r " ,   c a s F i l t e r ) ;         L o g o u t F i l t e r   l o g o u t F i l t e r   =   n e w   L o g o u t F i l t e r ( ) ;         l o g o u t F i l t e r . s e t R e d i r e c t U r l ( c a s . g e t S e r v e r U r l P r e f i x ( )   +   " / l o g o u t ? " ) ;         f i l t e r s . p u t ( " l o g o u t " ,   l o g o u t F i l t e r ) ;         s h i r o F i l t e r F a c t o r y B e a n . s e t F i l t e r s ( f i l t e r s ) ;         l o a d S h i r o F i l t e r C h a i n ( s h i r o F i l t e r F a c t o r y B e a n ) ;         r e t u r n   s h i r o F i l t e r F a c t o r y B e a n ; }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理