搜索

[15191] 2020-03-30_Shiro权限绕过漏洞分析（CVE-2020-2957）

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-18
2020-03-30_Shiro权限绕过漏洞分析（CVE-2020-2957） S h i r o 权 限 绕 过 漏 洞 分 析 （ C V E - 2 0 2 0 - 2 9 5 7 ） 斗 象 智 能 安 全 平 台   F r e e B u f   2 0 2 0 - 0 3 - 3 0 前 言 前 言 2 0 2 0 年 年 3 月 月 2 3 号 ， 号 ， S h i r o 开 发 者 开 发 者 B r i a n   D e m e r s 在 用 户 社 区 发 表 帖 子 ， 提 醒 在 用 户 社 区 发 表 帖 子 ， 提 醒 s h i r o 用 户 进 行 安 全 更 新 ， 本 次 更 新 进 行 用 户 进 行 安 全 更 新 ， 本 次 更 新 进 行 了 三 个 修 复 ， 其 中 就 包 括 了 对 编 号 为 了 三 个 修 复 ， 其 中 就 包 括 了 对 编 号 为 C V E - 2 0 2 0 - 2 9 5 7 的 的 S h r i o 授 权 绕 过 漏 洞 的 修 复 。 漏 洞 影 响 授 权 绕 过 漏 洞 的 修 复 。 漏 洞 影 响 s h i r o   1 . 5 . 2 版 本 以 版 本 以 下 。 下 。 分 析 过 程 分 析 过 程 S H I R O - 6 8 2 根 据 S h i r o 开 发 者 在 1 . 5 . 2 版 本 中 提 交 的 c o m m i t 中 关 于 P a t h M a t c h i n g F i l t e r 类 的 测 试 用 例 ， 可 以 直 接 关 联 到 J I R A i s s u e S H I R O - 6 8 2 ， 该 i s s u e 在 1 . 5 . 0 版 本 中 进 行 了 修 复 。 而 1 . 5 . 2 版 本 中 更 新 则 是 对 其 绕 过 的 修 复 。 S H I R O - 6 8 2 的 修 复 了 s p r i n g 框 架 下 u r i   =   u r i   +   ‘ / ’   绕 过 S h i r o 防 护 的 问 题 。 然 后 下 面 的 描 述 则 清 晰 得 描 述 了 造 成 改 错 误 的 原 因 。 在 S p r i n g   w e b 项 目 中 ， 请 求 U R I / r e s o u r c e / m e n u s 和 / r e s o u r c e / m e n u s / 都 可 以 访 问 到 服 务 器 的 资 源 。 但 在 S h i r o 中 的 U R L 路 径 表 达 式 p a t h P a t t e r n 可 以 正 确 匹 配 / r e s o u r c e / m e n u s ， 但 不 能 正 确 匹 配 / r e s o u r c e / m e n u s / ， 导 致 过 滤 链 无 法 正 确 匹 配 ， 从 而 绕 S h i r o 的 防 护 机 制 。
S h i r o 拦 截 器 拦 截 器 S h i r o 框 架 通 过 拦 截 器 功 能 来 实 现 对 用 户 访 问 权 限 的 控 制 和 拦 截 。 S h i r o 中 常 见 的 拦 截 器 有 a n o n , a u t h c 等 拦 截 器 。 1 . a n o n 为 匿 名 拦 截 器 ， 不 需 要 登 录 就 能 访 问 ， 一 般 用 于 静 态 资 源 , 或 者 移 动 端 接 口 2 . a u t h c 为 登 录 拦 截 器 ， 需 要 登 录 认 证 才 能 访 问 的 资 源 。 用 户 可 以 在 S h i r o . i n i 编 写 匹 配 U R L 配 置 ， 将 会 拦 截 匹 配 的 U R L ， 并 执 行 响 应 的 拦 截 器 。 从 而 实 现 对 U R L 的 访 问 控 制 ， U R L 路 径 表 达 式 通 常 为 A N T 格 式 。 如 下 配 置 ， 访 问   / i n d e x . h t m l 主 页 的 时 候 ， S h i r o 将 不 会 对 其 进 行 登 录 判 断 ， a n o n 拦 截 器 不 需 要 登 录 就 能 进 行 访 问 。 而 对 于 / u s e r / x i a o m i n g   等   / u s e r / x i a o g a n g 等 接 口 ， a u t h c 拦 截 器 将 会 对 其 进 行 登 录 判 断 ， 有 登 录 认 证 才 能 访 问 资 源 。 S h i r o 的 U R L 路 径 表 达 式 为 A n t   格 式 ， 路 径 通 配 符 支 持 ? * * * 。 其 中 表 示 匹 配 零 个 或 多 个 字 符 串 ， / 可 以 匹 配 / h e l l o ， 但 匹 配 不 到 / h e l l o / 因 为 通 配 符 无 法 匹 配 路 径 。 假 设 / h e l l o 接 口 设 置 了 a u t h c 拦 截 器 ， 访 问 / h e l l o 将 会 被 进 行 权 限 判 断 ， 如 果 请 求 的 U R I 为 / h e l l o / 呢 ， / U R L 路 径 表 达 式 将 无 法 正 确 匹 配 ， 放 行 。 然 后 进 入 到 s p r i n g ( S e r v l e t ) 拦 截 器 ， s p r i n g 中 / h e l l o 形 式 和 / h e l l o / 形 式 的 U R L 访 问 的 资 源 是 一 样 的 。 漏 洞 复 现 漏 洞 复 现 明 白 上 文 的 内 容 ， 漏 洞 复 现 就 很 容 易 了 ， 复 现 环 境 代 码 主 要 参 考 网 上 的 开 源 d e m o 。 1 . 下 载 d e m o 代 码 s h i r o - b a s i c 。 2 . 导 入 i d e a 3 . S h i r o 版 本 1 . 4 . 2 [ u r l s ] / i n d e x . h t m l   =   a n o n / u s e r / * *   =   a u t h c ? ： 匹 配 一 个 字 符 * ： 匹 配 零 个 或 多 个 字 符 串 * * ： 匹 配 路 径 中 的 零 个 或 多 个 路 径         < d e p e n d e n c y >                 < g r o u p I d > o r g . a p a c h e . s h i r o < / g r o u p I d >
4 . 修 改 S h i r o C o n f i g 配 置 文 件 ， 添 加 a u t h c 拦 截 器 的 拦 截 正 则 5 . 修 改 路 由 控 制 器 方 法 6 . 启 动 应 用 访 问 / h e l l o / 1 接 口 ， 可 以 看 到 被 a u t h c 拦 截 器 拦 截 了 ， 将 会 跳 转 到 登 录 接 口 进 行 登 录 。 访 问 / h e l l o / 1 / ， 成 功 绕 过 a u t h c 拦 截 器 ， 获 取 到 了 资 源 。                 < g r o u p I d > o r g . a p a c h e . s h i r o < / g r o u p I d >                 < a r t i f a c t I d > s h i r o - w e b < / a r t i f a c t I d >                 < v e r s i o n > 1 . 4 . 2 < / v e r s i o n >         < / d e p e n d e n c y >         < d e p e n d e n c y >                 < g r o u p I d > o r g . a p a c h e . s h i r o < / g r o u p I d >                 < a r t i f a c t I d > s h i r o - s p r i n g < / a r t i f a c t I d >                 < v e r s i o n > 1 . 4 . 2 < / v e r s i o n >         < / d e p e n d e n c y >         @ B e a n         S h i r o F i l t e r F a c t o r y B e a n   s h i r o F i l t e r F a c t o r y B e a n ( )   {                 S h i r o F i l t e r F a c t o r y B e a n   b e a n   =   n e w   S h i r o F i l t e r F a c t o r y B e a n ( ) ;                 . . .                 . . .                 / / m a p . p u t ( " / * " ,   " a u t h c " ) ;                 m a p . p u t ( " / h e l l o / * " ,   " a u t h c " ) ;                 b e a n . s e t F i l t e r C h a i n D e f i n i t i o n M a p ( m a p ) ;                 r e t u r n   b e a n ;         } @ G e t M a p p i n g ( " / h e l l o / { c u r r e n t P a g e } " )         p u b l i c   S t r i n g   h e l l o ( @ P a t h V a r i a b l e   I n t e g e r   c u r r e n t P a g e )   {                 r e t u r n   " h e l l o " ; }
漏 洞 成 因 漏 洞 成 因 漏 洞 初 始 成 因 可 以 定 位 到   P a t h M a t c h i n g F i l t e r C h a i n R e s o l v e r 的 g e t C h a i n 函 数 下 ， 该 函 数 作 用 根 据 U R L 路 径 匹 配 中 配 置 的 u r l 路 径 表 达 式 来 匹 配 输 入 的 U R L ， 判 断 是 否 匹 配 拦 截 器 ， 匹 配 成 功 将 会 返 回 响 应 的 拦 截 器 执 行 链 ， 让 S h i r o F i t h e r 执 行 权 限 操 作 的 。 其 对 于 U R L 路 径 表 达 式 和 输 入 U R L 的 匹 配 主 要 通 过 p a t h M a t h c h e s 函 数 进 行 匹 配 。 p a t h M a t c h e s 函 数 其 最 终 会 调 用 s h i r o . u t i l . A n t P a t h M a t c h e r 类 中 d o M a t c h 的 对 于 a n t 格 式 的 p a t h P a t t e r n 和 r e q u e s t U R I 进 行 匹 配 。 d o M a t c h : 1 0 9 ,   A n t P a t h M a t c h e r   ( o r g . a p a c h e . s h i r o . u t i l ) ， 当 S h i r o   的 A n t 格 式 的 p a t h P a t t e r n   中 的 的 通 配 符 是 不 支 持 匹 配 路 径 的 ， 所 以 / h e l l o / 不 能 成 功 匹 配 / h e l l o / 1 / ， 也 就 不 会 触 发 a u t h c 拦 截 器 进 行 权 限 拦 截 。 从 而 成 功 绕 过 了 S h i r o 拦 截 器 ， 而 后 再 进 入 到 s p r i n g 拦 截 器 中 ， / h e l l o / 1 / 与 / h e l l o / 1 能 获 取 到 相 同 的 资 源 。 / / p a t h M a t c h e s : 1 3 5 ,   P a t h M a t c h i n g F i l t e r C h a i n R e s o l v e r   ( o r g . a p a c h e . s h i r o . w e b . f i l t e r . m g t ) p r o t e c t e d   b o o l e a n   p a t h M a t c h e s ( S t r i n g   p a t t e r n ,   S t r i n g   p a t h )   {                 P a t t e r n M a t c h e r   p a t h M a t c h e r   =   t h i s . g e t P a t h M a t c h e r ( ) ;                 r e t u r n   p a t h M a t c h e r . m a t c h e s ( p a t t e r n ,   p a t h ) ; }
漏 洞 修 复 漏 洞 修 复 该 漏 洞 是 由 中 国 开 发 者 在 2 0 1 9 年 3 月 2 5 日 在 S h i r o G i t H u b 项 目 上 提 交 的 i s s u e ， 并 P R 了 分 支 代 码 5 8 9 f 1 0 添 加 漏 洞 修 复 代 码 ， 最 终 分 支 代 码 在 1 . 5 . 0 版 本 进 行 了 合 并 ， 合 并 时 间 为 2 0 1 9 年 1 1 月 2 0 日 。 1 . 5 . 0 版 本 修 复 版 本 修 复 1 . 5 . 0 版 本 修 复 源 自 t o m s u n 2 8 提 交 的 P R 代 码 ， 代 码 修 复 位 置 为 p a t h s M a t c h : 1 2 5 ,   P a t h M a t c h i n g F i l t e r ( o r g . a p a c h e . s h i r o . w e b . f i l t e r ) ， 该 修 复 方 式 是 通 过 判 断 r e q u e s t U R I 是 否 以 / 为 结 尾 ， 如 果 以 / 结 尾 的 话 ， 则 去 掉 尾 部 的 / 符 号 在 与 U R L 表 达 式 进 行 比 较 。 也 就 是 当 r e q u e s t U R I 为 / h e l l o / 1 / 等 以 / 为 结 尾 的 U R I 的 时 候 ， 都 会 被 清 除 最 后 的 / 号 ， 再 进 行 U R L 路 径 匹 配 。 ≤ 1 . 5 . 1 版 本 绕 过 版 本 绕 过 观 察 1 . 5 . 2 版 本 中 新 添 加 的 测 试 用 例 。
切 换 测 试 版 本 到 1 . 5 . 1 中 ， 然 后 从 中 上 面 的 测 试 用 例 提 取 p a y l o a d 进 行 绕 过 。 在 1 . 5 . 1 版 本 中 ， 添 加 / 还 是 会 直 接 跳 转 到 登 录 。 绕 过 p a y l o a d ， / f d s f ; / . . / h e l l o / 1 ， 成 功 绕 过 。 问 题 同 样 可 以 定 位 到 g e t C h a i n 函 数 中 对 于 r e q u e s t U R I 的 获 取 中 ， 如 下 图 所 示 ， t h i s . g e t P a t h W i t h i n A p p l i c a t i o n ( r e q u e s t ) 获 取 的 r e q u e s t U R I 为 / f d s f ， 而 不 是 我 们 输 入 的 / f d s f ; / . . / h e l l o / 1 ， 从 而 导 致 后 面 的 U R I 路 径 模 式 匹 配 返 回 F a l s e ， 从 而 再 次 绕 过 了 s h i r o 拦 截 器 。
g e t P a t h W i t h i n A p p l i c a t i o n 函 数 中 会 调 用 W e b U t i l s   ( o r g . a p a c h e . s h i r o . w e b . u t i l ) 中 的 g e t R e q u e s t U r i 函 数 获 取 R e q u e s t U r i 。 R e q u e s t U r i 函 数 中 最 终 调 用 d e c o d e A n d C l e a n U r i S t r i n g 函 数 对 U R I 进 行 清 洗 。 如 果 U R I 中 存 在 ; 号 的 话 ， 则 会 删 除 其 后 面 的 所 有 字 符 。 / f d s f ; / . . / h e l l o / 1 / 最 终 也 就 变 成 了 / f d s f 。 1 . 5 . 2 版 本 修 复 版 本 修 复 再 1 . 5 . 2 版 本 中 对 其 进 行 了 修 复 ， 获 取 r e q u e s t U R I 的 方 式 从 r e q u e s t . g e t R e q u e s t U r i 直 接 获 取 的 方 式 更 改 为 获 取 r e q u e s t 的 C o n t e x t P a t h ， S e r v l e t P a t h ， P a t h I n f o ， 然 后 再 重 新 拼 接 而 成 。 p u b l i c   s t a t i c   S t r i n g   g e t R e q u e s t U r i ( H t t p S e r v l e t R e q u e s t   r e q u e s t )   {                 S t r i n g   u r i   =   ( S t r i n g ) r e q u e s t . g e t A t t r i b u t e ( " j a v a x . s e r v l e t . i n c l u d e . r e q u e s t _ u r i " ) ;                 i f   ( u r i   = =   n u l l )   {                         u r i   =   r e q u e s t . g e t R e q u e s t U R I ( ) ;                 }                 r e t u r n   n o r m a l i z e ( d e c o d e A n d C l e a n U r i S t r i n g ( r e q u e s t ,   u r i ) ) ;         } p r i v a t e   s t a t i c   S t r i n g   d e c o d e A n d C l e a n U r i S t r i n g ( H t t p S e r v l e t R e q u e s t   r e q u e s t ,   S t r i n g   u r i )   {             u r i   =   d e c o d e R e q u e s t S t r i n g ( r e q u e s t ,   u r i ) ;             i n t   s e m i c o l o n I n d e x   =   u r i . i n d e x O f ( 5 9 ) ; / / 获 取 ; 号 的 位 置             r e t u r n   s e m i c o l o n I n d e x   ! =   - 1   ?   u r i . s u b s t r i n g ( 0 ,   s e m i c o l o n I n d e x )   :   u r i ;     }
输 入 的 / f d s f ; / . . / h e l l o / 1 / ， 将 会 被 拼 接 为 / / h e l l o / 1 / 1 再 进 行 U R I 路 径 匹 配 ， 则 无 法 绕 过 拦 截 器 。 总 结 总 结 在 w e b 容 器 中 ， S h i r o 的 拦 截 器 是 先 与 s p r i n g ( S e r v l e t ) 执 行 ， 两 者 拦 截 器 对 于 U R I 模 式 匹 配 的 差 异 ， 导 致 S h i r o 拦 截 器 的 绕 过 ， 而 S h i r o 对 其 进 行 了 两 次 修 复 ， 其 一 为 删 除 r e q u e s t U R I 后 面 的 / 号 进 行 U R L 路 径 匹 配 ， 算 是 简 单 的 修 复 了 添 加 / 号 绕 过 的 方 式 ， 而 后 在 1 . 5 . 2 版 本 中 通 过 r e q u e s t U R I 自 主 拼 接 的 方 式 修 复 了 / f d s f ; / . . / h e l l o / 1 / 等 使 用 了 ; 号 方 式 的 绕 过 。 而 后 又 会 有 什 么 形 式 的 绕 过 ， 或 者 又 有 什 么 其 它 容 器 导 致 的 差 异 化 绕 过 。 则 未 可 知 。 修 复 方 案 修 复 方 案 1 . 升 级 1 . 5 . 2 版 本 及 以 上 2 . 尽 量 避 免 使 用 * 通 配 符 作 为 动 态 路 由 拦 截 器 的 U R L 路 径 表 达 式 。 参 考 链 接 参 考 链 接 1 . h t t p s : / / g i t h u b . c o m / a p a c h e / s h i r o / p u l l / 1 2 7 2 . h t t p s : / / b l o g . 5 1 c t o . c o m / l u c h u n l i / 1 8 3 5 1 0 8 3 . h t t p s : / / i s s u e s . a p a c h e . o r g / j i r a / b r o w s e / S H I R O - 6 8 2 4 . h t t p s : / / w w w . s y s h l a n g . c o m / 9 6 d b 3 1 7 4 / 5 . h t t p : / / s h i r o - u s e r . 5 8 2 5 5 6 . n 2 . n a b b l e . c o m / R e - A N N O U N C E - C V E - 2 0 2 0 - 1 9 5 7 - A p a c h e - S h i r o - 1 - 5 - 2 - r e l e a s e d - t d 7 5 8 2 1 3 6 . h t m l
* 本 文 作 者 ： 本 文 作 者 ： t b a g @ 斗 象 能 力 中 心 斗 象 能 力 中 心 T C C ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理