【漏洞复现】Shiro 反序列化漏洞_shiro反序列化漏洞-CSDN博客

本文链接：https://blog.csdn.net/2301_80115097/article/details/134294334

本文介绍了ApacheShiro1.2.4版本中的Java反序列化漏洞，涉及硬编码AES密钥导致的RCE，详细描述了漏洞原理、复现步骤，并提供了两种修复方案，包括升级到最新版本和保持版本但使用随机密钥。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、漏洞介绍

Apache Shiro是一款开源安全框架，提供身份验证、授权、密码学和会话管理。Shiro框架直观、易用，同时也能提供健壮的安全性。

Apache Shiro 1.2.4及以前版本中，加密的用户信息序列化后存储在名为remember-me的Cookie中。攻击者可以使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令。

漏洞原理

shiro默认使用了CookieRememberMeManager，其处理cookie的流程是：
得到rememberMe的cookie值 —> Base64编码 —> AES解密 —> 反序列化
然而AES的密钥是硬编码的，就导致了攻击者可以构造恶意数据造成反序列化的RCE漏洞。
payload 构造的顺序则就是相对的反着来：
恶意命令—>序列化—>AES加密—>base64编码—>发送cookie
在整个漏洞利用过程中，比较重要的是AES加密的密钥，该秘钥默认是默认硬编码的，所以如果没有修改默认的密钥，就自己可以生成恶意构造的cookie了。

漏洞特征

未登陆的情况下，请求包的cookie中没有rememberMe字段，返回包set-Cookie里也没有deleteMe字段
登陆失败的话，不管勾选RememberMe字段没有，返回包都会有rememberMe=deleteMe字段
不勾选RememberMe字段，登陆成功的话，返回包set-Cookie会有rememberMe=deleteMe字段。但是之后的所有请求中Cookie都不会有rememberMe字段
勾选RememberMe字段，登陆成功的话，返回包set-Cookie会有rememberMe=deleteMe字段，还会有rememberMe字段，之后的所有请求中Cookie都会有rememberMe字段