搜索

[21432] 2020-11-22_深入利用Shiro反序列化漏洞

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-11-22_深入利用Shiro反序列化漏洞 深 入 利 用 S h i r o 反 序 列 化 漏 洞 x x w   L e m o n S e c   2 0 2 0 - 1 1 - 2 2 之 前 连 发 了 两 天 S h i r o 反 序 列 化 漏 洞 以 及 验 证 工 具 ， 可 回 顾 ： 实 战 渗 透 - S h i r o 反 序 列 化 漏 洞 实 例 S h i r o 反 序 列 化 漏 洞 检 测 工 具 （ 文 末 附 下 载 地 址 ） 以 下 转 自 H A C K 之 道 0 x 0 0 ： 背 景 ： 背 景 s h i r o 反 序 列 化 R C E 是 在 实 战 中 一 个 比 较 高 频 且 舒 适 的 漏 洞 ， s h i r o 框 架 在 j a v a   w e b 登 录 认 证 中 广 泛 应 用 ， 每 一 次 目 标 较 多 的 情 况 下 几 乎 都 可 以 遇 见 s h i r o ， 而 因 其 p a y l o a d 本 身 就 是 加 密 的 ， 无 攻 击 特 征 ， 所 以 几 乎 不 会 被 w a f 检 测 和 拦 截 。 0 x 0 1 ： ： s h i r o 反 序 列 化 的 原 理 反 序 列 化 的 原 理 先 来 看 看 s h i r o 在 1 . 2 . 4 版 本 反 序 列 化 的 原 理 这 里 是 s h i r o 拿 到 c o o k i e 后 的 关 键 代 码 ， 先 d e c r y p t 再 反 序 列 化 跟 到 d e c r y p t 方 法
调 用 具 体 的 c i p h e r S e r v i c e ， 传 入 加 密 后 的 数 据 和 c i p h e r K e y 进 行 解 密 g e t D e r y p t i o n C i p h e r K e y ( ) 获 取 的 值 也 就 是 这 个 D E F A L U T   k e y ， 硬 编 码 在 程 序 中 查 看 C i p h e r S e r v i c e 接 口 的 继 承 关 系 ， 发 现 其 仅 有 一 个 实 现 类 J c a C i p h e r S e r v i c e （ 静 态 可 以 这 样 看 ， 动 态 调 试 会 直 接 跟 进 去 ） 查 看 实 现 类 的 d e c r y p t 方 法 ， 可 以 看 到 i v 即 c i p h e r t e x t 的 前 1 6 个 字 节 ， 因 为 i v 由 我 们 随 机 定 义 并 附 加 在 最 后 的 c i p h e r t e x t 前 面 ， 也 就 是 说 只 要 知 道 k e y 即 可 构 造 反 序 列 化 p a y l o a d
k e y 是 硬 编 码 ， 后 续 官 方 修 改 为 获 得 随 机 k e y ， 但 正 如 一 开 始 所 说 ， 存 在 开 源 框 架 配 置 硬 编 码 k e y ， 因 此 在 1 . 4 . 2 以 前 很 多 s h i r o 都 可 以 通 过 略 微 修 改 脚 本 遍 历 高 频 k e y 的 方 式 去 攻 击 ， 下 图 举 例 ， g i t h u b 上 有 很 多 类 似 这 样 的 代 码 C B C 算 法 的 s h i r o 生 成 p a y l o a d 的 关 键 代 码 如 下 ， 也 就 是 我 们 通 用 的 生 成 s h i r o 攻 击 代 码 p y t h o n 中 有 实 现 a e s - c b c 的 算 法 ， 通 过 指 定 m o d e 为 A E S - C B C ， 遍 历 k e y ， 随 机 生 成 i v ， 配 合 y s o s e r i a l 的 g a d g e t 即 可 生 成 p a y l o a d B S       =   A E S . b l o c k _ s i z e         p a d   =   l a m b d a   s :   s   +   ( ( B S   -   l e n ( s )   %   B S )   *   c h r ( B S   -   l e n ( s )   %   B S ) ) . e n c o d e ( )         m o d e   =     A E S . M O D E _ C B C         i v       =     u u i d . u u i d 4 ( ) . b y t e s         f i l e _ b o d y   =   p a d ( f i l e _ b o d y )         e n c r y p t o r   =   A E S . n e w ( b a s e 6 4 . b 6 4 d e c o d e ( k e y ) ,   m o d e ,   i v )         b a s e 6 4 _ c i p h e r t e x t   =   b a s e 6 4 . b 6 4 e n c o d e ( i v   +   e n c r y p t o r . e n c r y p t ( f i l e _ b o d y ) )         r e t u r n   b a s e 6 4 _ c i p h e r t e x t 0 x 0 2 ： 高 版 本 下 的 利 用 ： 高 版 本 下 的 利 用 而 在 1 . 4 . 2 以 后 由 于 p a d d i n g   o r a c l e 的 影 响 ， s h i r o 官 方 把 加 密 方 式 改 为 了 G C M ， 所 以 我 们 需 要 更 改 脚 本 ， 添 加 G C M 下 的 攻 击 方 式 去 攻 击 高 版 本 的 s h i r o ， 通 过 跟 踪 代 码 动 态 调 试 可 以 看 出 确 实 是 使 用 G C M 加 密
所 以 s h i r o 的 攻 击 脚 本 中 的 核 心 代 码 我 们 来 修 改 一 下 , G C M 加 密 不 需 要 p a d d i n g ， 但 需 要 一 个 M A C 值 （ 也 就 是 我 代 码 里 的 t a g ） ， 这 块 可 以 自 己 跟 一 下 源 码 ， 核 心 代 码 如 下 ： 0 x 0 3 ： 获 得 ： 获 得 k e y & 回 显 回 显 & 内 存 内 存 s h e l l 从 三 月 到 八 月 有 很 多 师 傅 写 了 很 多 文 章 集 中 在 s h i r o 的 利 用 上 ， 我 也 综 合 了 各 位 师 傅 的 想 法 和 思 路 搞 了 一 些 脚 本 1 . k e y 检 测 ： i v   =   o s . u r a n d o m ( 1 6 )         c i p h e r   =   A E S . n e w ( b a s e 6 4 . b 6 4 d e c o d e ( k e y ) ,   A E S . M O D E _ G C M ,   i v )                             c i p h e r t e x t ,   t a g   =   c i p h e r . e n c r y p t _ a n d _ d i g e s t ( f i l e _ b o d y )           c i p h e r t e x t   =   c i p h e r t e x t   +   t a g               b a s e 6 4 _ c i p h e r t e x t   =   b a s e 6 4 . b 6 4 e n c o d e ( i v   +   c i p h e r t e x t )         r e t u r n   b a s e 6 4 _ c i p h e r t e x t
以 前 的 脚 本 批 量 检 测 s h i r o 的 存 在 或 者 说 获 得 k e y 我 们 用 到 最 多 的 还 是 y s o s e r i a l 中 的 u r l d n s 模 块 ， 不 过 这 个 有 一 个 问 题 就 是 如 果 不 出 网 的 话 会 有 问 题 ， 所 以 这 里 还 有 一 个 新 的 办 法 就 是 使 用 一 个 空 的 S i m P l e P r i n c p a l C o l l e c t i o n 作 为 我 们 要 序 列 化 的 对 象 ， 也 就 是 构 造 一 个 正 确 的 r e m e m b e r M e 触 发 反 序 列 化 ， 如 果 k e y 是 正 确 的 ， 响 应 包 中 不 会 返 回 r e m e m b e r M e = d e l e t e M e ， 这 里 一 开 始 我 想 在 脚 本 中 通 过 检 测 返 回 包 中 是 否 有 d e l e t e M e 关 键 字 来 做 判 断 ， 结 果 发 现 有 一 些 环 境 本 身 就 会 返 回 r e m e m b e r M e = d e l e t e M e ， 因 此 最 终 选 择 了 一 个 比 较 暴 力 的 方 式 ， 关 键 代 码 如 下 当 然 这 样 也 有 可 能 存 在 误 报 ， 大 家 可 以 酌 情 修 改 ， 用 起 来 是 这 样 2 . 回 显 : r 1   =   r e q u e s t s . g e t ( t a r g e t ,   c o o k i e s = { ' r e m e m b e r M e ' :   " 1 2 3 " } ,   t i m e o u t = 1 0 ,   p r o x i e s = P R O X Y ,                                                   v e r i f y = F a l s e ,   h e a d e r s = m y h e a d e r , a l l o w _ r e d i r e c t s = F a l s e )         r s p 1 = l e n ( s t r ( r 1 . h e a d e r s ) )   # 这 里 我 先 给 一 个 肯 定 不 正 确 的 r e m e m b e r M e               t r y :                 f o r   k e y   i n   k e y s :                         p r i n t ( " [ - ]   s t a r t   k e y :   { 0 } " . f o r m a t ( k e y ) )                         i f   c i p h e r t y p e   = =   ' C B C ' :                                 p a y l o a d   =   C B C C i p h e r ( k e y , b a s e 6 4 . b 6 4 d e c o d e ( c h e c k d a t a ) )                         i f   c i p h e r t y p e   = =   ' G C M ' :                                 p a y l o a d   =   G C M C i p h e r ( k e y , b a s e 6 4 . b 6 4 d e c o d e ( c h e c k d a t a ) )                         p a y l o a d   =   p a y l o a d . d e c o d e ( )                 # p r i n t ( p a y l o a d )                         r   =   r e q u e s t s . g e t ( t a r g e t ,   c o o k i e s = { ' r e m e m b e r M e ' :   p a y l o a d } ,   t i m e o u t = 1 0 ,   p r o x i e s = P R O X Y ,                                                   v e r i f y = F a l s e ,   h e a d e r s = m y h e a d e r , a l l o w _ r e d i r e c t s = F a l s e )     #   发 送 验 证 请 求                         r s p   =   l e n ( s t r ( r . h e a d e r s ) )                         i f   r s p 1   ! =   r s p   a n d   r . s t a t u s _ c o d e   ! =   4 0 0 :                         # 在 这 里 和 肯 定 不 正 确 的 返 回 包 h e a d e r 的 l e n t h 做 比 较 ， 如 果 有 差 异 ， 则 是 正 确 的 的 k e y                                 p r i n t ( " ! !   G e t   k e y :   { 0 } " . f o r m a t ( k e y ) )                                 e x i t ( )
回 显 这 个 点 也 是 有 很 多 师 傅 发 了 很 多 文 章 ， 从 一 开 始 l i n u x 下 的 半 回 显 到 k i n g k k 师 傅 的 t o m c a t 通 用 半 回 显 再 到 c 0 n y 1 师 傅 的 半 自 动 化 挖 掘 再 到 f n m s d 师 傅 的 通 用 回 显 ， 中 间 也 穿 插 着 其 他 师 傅 的 文 章 这 里 就 不 列 出 来 了 ， 当 然 最 终 我 用 的 也 是 f n m s d 师 傅 的 代 码 ， 一 路 跟 了 这 些 文 章 过 来 不 得 不 感 慨 师 傅 们 真 是 t q l 以 及 这 种 不 断 提 出 新 思 路 不 断 完 善 的 过 程 实 在 令 本 菜 鸡 拍 断 大 腿 。 f n m s d 师 傅 用 的 其 实 也 是 c 0 n y 1 师 傅 的 思 路 ， 就 是 在 当 前 线 程 对 象 里 搜 索 r e q u e s t 对 象 ， 判 断 请 求 头 中 是 否 存 在 指 定 请 求 头 ， 再 从 r e s p o n s e 对 象 里 获 取 输 出 。 f n m s d 师 傅 也 对 代 码 里 存 在 的 几 个 小 问 题 做 了 好 几 个 版 本 的 修 改 ， 最 终 我 在 实 际 运 用 的 时 候 依 然 存 在 一 点 点 问 题 就 是 师 傅 设 置 的 深 度 优 先 搜 索 是 5 2 层 ， 结 果 测 试 时 还 是 遇 到 了 5 2 层 没 有 搜 到 的 情 况 ， 结 果 随 意 改 成 1 0 0 层 就 找 到 了 . . . .   以 及 在 用 y s o s e r i a l 里 面 有 的 c c 链 比 较 长 生 成 出 来 的 p a y l o a d 差 不 多 逼 近 了 t o m a c t 默 认 对 h e a d e r 的 限 制 长 度 ， 有 点 危 险 。 n g i n x 就 不 说 了 直 接 凉 ， 如 果 遇 到 n g i n x 需 要 换 个 思 路 ， 比 如 可 以 尝 试 先 分 段 注 入 ， 最 后 再 执 行 。 代 码 就 不 贴 了 ， 列 一 下 师 傅 的 文 章 ， 他 有 给 出 代 码 f n m s d 通 用 回 显 h t t p s : / / b l o g . c s d n . n e t / f n m s d / a r t i c l e / d e t a i l s / 1 0 6 7 0 9 7 3 6 f n m s d 修 复 通 用 回 显   h t t p s : / / b l o g . c s d n . n e t / f n m s d / a r t i c l e / d e t a i l s / 1 0 6 8 9 0 2 4 2 先 跑 一 下 测 试 能 不 能 回 显 ， 效 果 如 图 再 把 输 出 的 p a y l o a d 粘 贴 到 b u r p 中 执 行 命 令
3 . 内 存 w e b s h e l l 其 实 严 格 来 说 在 回 显 里 提 到 的 k i n g k k 师 傅 做 的 是 内 存 w e b s h e l l ， 一 开 始 是 有 点 混 杂 的 ， 但 其 实 跟 一 路 会 发 现 内 存 和 w e b s h e l l 到 最 后 利 用 的 点 是 不 一 样 的 ， 内 存 w e b s h e l l 的 思 路 是 注 册 f i l t e r （ 当 然 还 有 观 星 的 师 傅 写 的 通 杀 s p r i n g 的 ， 思 路 是 注 册 c o n t r o l l e r ， 链 接 在 此   h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 1 9 8 8 8 6 ) ， 其 实 在 有 了 f n m s d 师 傅 思 路 比 较 好 的 回 显 之 后 ， 内 存 w e b s h e l l 可 能 需 求 就 不 太 大 了 ， 但 有 时 候 红 队 可 能 需 要 一 个 内 存 s h e l l 来 维 持 权 限 ( ? ) 或 者 需 要 配 合 r e G e o r g 代 理 进 内 网 ， 所 以 这 个 东 西 还 是 有 必 要 的 一 开 始 看 到 t h r e e d r 3 a m 师 傅 的 基 于 t o m c a t 的 内 存   W e b s h e l l   无 文 件 攻 击 技 术 文 章 ， 解 决 了 s h i r o 下 的 利 用 ， 也 能 做 到 勉 强 通 杀 t o m c a t （ 除 了 t o m c a t 6 ， 原 因 可 看 评 论 区 ， 这 个 我 没 测 试 ） ， 但 是 遇 到 s i h r o 有 一 个 最 大 的 问 题 就 是 长 度 ， 没 错 ， 这 个 长 度 超 大 发 了 。 菜 鸡 如 我 也 上 蹿 下 跳 试 图 通 过 修 改 y s o s e r i a l 和 p a y l o a d 的 代 码 缩 短 p a y l o a d ， 事 实 证 明 我 确 实 不 行 ， 长 亭 师 傅 的 解 决 办 法 看 了 一 眼 感 觉 不 是 特 别 好 用 ， 再 加 上 后 来 又 继 续 去 跟 了 回 显 ， 就 没 管 这 个 了 。 后 来 又 看 到 了 涙 笑 师 傅 的 思 路 ， 解 决 了 长 度 的 问 题 涙 笑 师 傅 的 文 章 ： J a v a 代 码 执 行 漏 洞 中 类 动 态 加 载 的 应 用 h t t p s : / / m p . w e i x i n . q q . c o m / s / 5 i Y y R G n l O E E I J m W 1 D q A e X w 其 实 原 理 就 是 在 c o o k i e 中 反 序 列 执 行 的 代 码 只 是 插 入 了 一 个 我 们 自 定 义 的 C l a s s L o a d e r ， 这 块 长 度 很 小 。 在 这 个 C l a s s L o a d e r 中 反 射 调 用 d e f i n e C l a s s 方 法 ， 这 个 方 法 的 b y t e 参 数 从 P O S T 参 数 中 取 出 来 。 也 就 是 把 我 们 注 册 f i l t e r 的 这 段 p a y l o a d 写 在 s t a t i c 代 码 块 里 ， 编 译 后 的 b y t e 再 通 过 P O S T 传 递 ， 自 定 义 C l a s s L o a d e r 加 载 时 会 自 动 执 行 s t a t i c 代 码 块 的 代 码 。 攻 击 的 时 候 先 生 成 p a y l o a d ， 上 面 是 最 终 要 执 行 的 类 ， 下 面 是 r e m e m b e r M e 中 要 执 行 的 插 入 c l a s s l o a d e r 的 p a y l o a d
在 b u r p 里 是 这 样 ： 要 注 意 c l a s s D a t a 一 定 要 u r l 编 码 ， 我 刚 开 始 测 试 没 注 意 这 点 一 直 不 成 功 。 涙 笑 师 傅 的 文 中 给 出 了 配 合 r e G e r o g 的 p a y l o a d ， 这 里 就 不 粘 贴 了 。 4 . 内 存 w e b s h e l l 适 配 ： 后 面 还 有 一 个 问 题 就 是 内 存 w e b s h e l l 怎 么 适 配 冰 蝎 ， 因 为 冰 蝎 用 的 p a g e C o n t e x t 类 在 s p r i n g b o o t 里 面 是 没 有 的 ， 所 以 解 决 方 案 一 个 是 反 编 译 后 修 改 冰 蝎 的 代 码 重 新 打 包 ， 这 一 块 虽 然 能 做 出 来 ， 但 是 不 通 用 ， 而 且 比 较 麻 烦 ， 有 师 傅 在 先 知 发 过 文 ， 可 以 参 考 h t t p s : / / x z . a l i y u n . c o m / t / 7 8 9 9 另 外 一 个 思 路 就 是 不 改 冰 蝎 的 服 务 端 ， 改 内 存 w e b s h e l l ， 也 看 到 有 师 傅 发 的 文 ， 思 路 是 沿 用 涙 笑 师 傅 通 过 自 定 义 c l a s s l o a d e r ， 接 着 先 注 入 一 个 p a g e C o n t e x t 类 ， 再 注 入 内 存 w e b s h e l l ， 链 接 在 此   h t t p s : / / m p . w e i x i n . q q . c o m / s / r 4 c U 8 4 f A S j f l H r p - p E - y b g
然 而 不 知 道 是 我 学 艺 不 精 还 是 师 傅 的 文 章 写 的 有 点 模 糊 （ 划 掉 ） ， 我 总 感 觉 在 类 加 载 机 制 下 ， 这 样 做 好 像 有 点 不 对 劲 的 地 方 ， 而 我 也 确 实 没 搞 出 来 ， 一 直 报 错 ， 希 望 这 位 师 傅 如 果 看 到 这 篇 文 章 可 以 联 系 一 下 弟 弟 ， d d d d h m ， 我 找 了 半 天 也 不 知 道 怎 么 联 系 上 您 。 0 x 0 4 ： 后 记 ： 后 记 上 文 涉 及 到 的 所 有 脚 本 和 我 修 改 后 的 y s o s e r i a l 包 将 在 h t t p s : / / g i t h u b . c o m / E c h o x 1 / S h i r o E x p l o i t 中 放 出 才 疏 学 浅 ， 也 是 第 一 次 做 j a v a 安 全 的 研 （ z o n g ） 究 （ j i e ） 和 分 享 ， 其 他 的 工 作 也 很 多 导 致 s h i r o 研 究 的 断 断 续 续 ， 文 章 也 写 得 断 断 续 续 ， 时 间 跨 度 拉 的 很 大 ， 长 达 好 几 个 月 ， 后 面 写 的 时 候 很 多 的 东 西 都 快 忘 记 了 ， 因 此 文 章 中 可 能 存 在 错 误 和 疏 漏 ， 希 望 师 傅 们 不 吝 指 出 。 最 后 感 谢 上 文 中 提 到 的 每 一 位 师 傅 和 部 分 没 有 提 到 的 师 傅 ， 感 谢 你 们 无 私 的 分 享 ， 才 会 让 菜 鸡 如 我 学 习 到 这 么 多 知 识 。 作 者 ： x x w ， 文 章 来 源 ： 先 知 社 区 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 为 方 便 技 术 交 流 、 接 收 粉 丝 建 议 ， 贴 出 了 运 营 小 哥 哥 的 微 信 ， 可 扫 码 加 依 旧 是 限 时 加 ， 晚 5 点 后 会 暂 时 关 闭 二 维 码 加 好 友 欢 迎 各 位 大 佬 加 好 友 【 好 书 推 荐 】 【 好 书 推 荐 】 2 0 2 0 h w 系 列 文 章 整 理 （ 中 秋 快 乐 、 国 庆 快 乐 、 双 节 快 乐 ） H W 中 如 何 检 测 和 阻 止 D N S 隧 道
c t f 系 列 文 章 整 理 日 志 安 全 系 列 - 安 全 日 志 【 干 货 】 流 量 分 析 系 列 文 章 整 理 【 干 货 】 超 全 的   渗 透 测 试 系 列 文 章 整 理 【 干 货 】 持 续 性 更 新 - 内 网 渗 透 测 试 系 列 文 章 【 干 货 】 a n d r o i d 安 全 系 列 文 章 整 理 扫 描 关 注 扫 描 关 注 L e m o n S e c
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理