搜索

[28746] 2021-02-03_ApacheShiro认证绕过分析（CVE-2020-17523）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2021-02-03_ApacheShiro认证绕过分析（CVE-2020-17523） A p a c h e   S h i r o 认 证 绕 过 分 析 （ C V E - 2 0 2 0 - 1 7 5 2 3 ） O t s 安 全   2 0 2 1 - 0 2 - 0 3 0 x 0 1 进 攻 描 述 进 攻 描 述 A p a c h e   S h i r o 是 一 个 强 大 且 易 用 的 J a v a 安 全 框 架 ， 执 行 身 份 验 证 ， 授 权 ， 密 码 和 会 话 管 理 。 使 用 S h i r o 的 易 于 理 解 的 A P I ， 您 可 以 快 速 ， 轻 松 地 获 得 任 何 应 用 程 序 ， 从 最 小 的 移 动 应 用 程 序 到 最 大 的 网 络 和 企 业 应 用 程 序 。 当 它 和 S p r i n g 结 合 使 用 时 ， 在 一 定 权 限 匹 配 规 则 下 ， 攻 击 者 可 通 过 构 造 特 殊 的 H T T P 请 求 包 完 成 身 份 认 证 绕 过 。 影 响 范 围 ： A p a c h e   S h i r o   < 1 . 7 . 1 0 x 0 2 进 攻 环 境 建 设 进 攻 环 境 建 设 s h i r o   1 . 7 . 0 h t t p s : / / g i t h u b . c o m / j w e n y / s h i r o - c v e - 2 0 2 0 - 1 7 5 2 3 0 x 0 3   p o c 测 试 测 试 h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 / a d m i n / % 2 0 使 用 空 格 等 空 字 符 ， 可 绕 过 s h i r o 身 份 验 证 。 0 x 0 4   漏 洞 分 析 漏 洞 分 析 漏 洞 环 境 中 ， 所 匹 配 的 u r l 都 应 在 s h i r o 的 鉴 权 范 围 内 。 s h i r o 校 验 p a t h 的 函 数 为 p a t h M a t c h e s 。 p a t h M a t c h e s 返 回 t r u e 时 ， 匹 配 命 中 的 u r l 才 会 进 入 后 续 的 鉴 权 逻 辑 。 在 o r g . a p a c h e . s h i r o . u t i l . A n t P a t h M a t c h e r # d o M a t c h 方 法 的 p a t h M a t c h e s 处 下 断 点 。 先 手 工 验 证 下 漏 洞 产 生 原 因 ： 先 手 工 验 证 下 漏 洞 产 生 原 因 ： / a d m i n / *
调 出 E v a l u a t e ， 计 算 一 下 ， 正 常 匹 配 ， 返 回 t r u e 。 计 算 一 下 p a t h M a t c h （ " / a d m i n / * " , " / a d m i n /   " ） ， 正 常 失 败 了 ， 返 回 f a l s e ， 不 会 鉴 权 ， 但 是 s p r i n g 接 受 到 的 是 u r l 是 ， 返 回 正 产 页 面 a d m i n   p a g e 。 p a t h M a t c h e s （ " / a d m i n / * " , " / a d m i n / 1 " ） / a d m i n / % 2 0
开 始 跟 随 调 试 ： 开 始 跟 随 调 试 ： 调 试 开 始 会 经 过 一 阵 无 聊 的 F 7 。 一 直 到 。 可 见 ， 返 回 的 p a t h D i r s 已 经 没 有 空 格 了 。 因 此 会 导 致 和 不 匹 配 。 d o M a t c h ( " / a d m i n / * " , " / a d m i n /   " ) t o k e n i z e T o S t r i n g A r r a y / a d m i n / *   / a d m i n /  
这 里 简 单 说 一 下 为 什 么 不 是 s h i r o 的 匹 配 函 数 的 问 题 。 在 匹 配 时 ， 只 要 要 匹 配 的 字 符 串 不 是 空 ， 均 返 回 匹 配 成 功 。 因 此 只 有 空 格 被 删 的 情 况 下 ， 才 会 出 现 与 匹 配 失 败 。 m a t c h S t r i n g s ( ) m a t c h S t r i n g s ( ) * *
可 见 是 造 成 的 。 跟 一 下 方 法 ， 发 现 其 调 用 方 法 时 的 参 数 为 t r u e 。 t o k e n i z e T o S t r i n g A r r a y t o k e n i z e T o S t r i n g A r r a y t o k e n i z e T o S t r i n g A r r a y t r i m T o k e n s
而 方 法 ， 在 参 数 为 t r u e 时 ， 会 经 过 处 理 ， 因 此 导 致 空 格 等 空 白 字 符 被 清 除 。 t o k e n i z e T o S t r i n g A r r a y t r i m T o k e n s t r i m ( )
总 结 一 下 ： 存 在 漏 洞 的 s h i r o 版 本 ， 由 于 调 用 方 法 时 ， 参 数 默 认 为 t r u e ， 导 致 空 格 等 空 白 字 符 被 删 ， 因 此 无 法 与 p a t t e r n 匹 配 ， 导 致 该 路 径 无 法 经 过 鉴 权 。 但 是 s p r i n g 接 受 到 的 访 问 路 径 为 ， 按 照 正 常 逻 辑 返 回 响 应 ， 因 此 导 致 权 限 被 绕 过 。 0 x 0 5   官 方 的 修 复 方 案 官 方 的 修 复 方 案 经 过 以 上 的 分 析 ， 修 复 方 案 已 经 很 明 确 了 ， 将 设 置 为 f a l s e 。 t o k e n i z e T o S t r i n g A r r a y t r i m T o k e n s * / a d m i n / % 2 0 t r i m T o k e n s
0 x 0 6 关 于 关 于 t r i m 原 理 上 来 说 会 清 空 字 符 串 前 后 所 有 的 w h i t e s p a c e ， 空 格 只 是 其 中 的 一 种 ， 但 是 在 测 试 中 发 现 除 了 空 格 以 外 的 其 他 w h i t e s p a c e ， 例 如 、 、 ， s p r i n g 处 理 时 都 会 返 回 4 0 0 。 因 此 除 了 空 格 ， 尚 未 发 现 其 他 好 用 的 p a y l o a d 。 t r i m ( ) % 0 8 % 0 9 % 0 a
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理