Shiro反序列化漏洞复现
Shiro简介
Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。
影响范围
Apache Shiro <= 1.2.4
漏洞简介
Shiro反序列化漏洞主要存在Java开发的网站程序中，它是也属于java的反序列化漏洞。特征是响应包存在rememberMe标记，或者人为修改登陆包，在Cookie中rememberMe=deleteMe，同样观察回包是否存在rememberMe标记。如果存在，基本确定采用Shiro框架进行的认证或权限控制。，其处理cookie的流程是：
得到rememberMe的cookie值 ->Base64解码 –>AES解密 –>反序列化。
环境搭建
利用工具：https://github.com/j1anFen/shiro_attack/releases/tag/2.2
使用docker拉取漏洞镜像：
docker pull medicean/vulapps:s_shiro_1
systemctl restart docker
docker run -d -p 8081:8080 medicean/vulapps:s_shiro_1访问http://your-ip:8081出现如下界面即代表环境搭建成功
漏洞复现
使用burpsuite抓包，看到rememberMe=deleteMe字段，猜测可能存在shiro反序列化
使用工具进行检测
下载后有两个文件，双击shiro_attack-2.2.jar文件即可
如果双击没反应，那应该是java版本太高了，下载一个java8就可以了https://www.oracle.com/java/technologies/downloads/#java8
命令执行
文件上传
漏洞修复
目前官方发布了最新版本 ，强烈建议您更新并使用最新版本。
