Shiro反序列化漏洞

Shiro反序列化漏洞

一、Shrio反序列化导致命令执行（Shiro-550 CVE-2016-4437）

1.1 漏洞介绍

1.1.1 漏洞简介

  Apache Shiro是一款开源企业常见JAVA安全框架，提供身份验证、授权、密码学和会话管理。java中的权限框架有SpringSecurity和Shiro，由于Spring功能强大但复杂，Shiro的简单强大，扩展性好因此用的还是很多。

1.1.2 影响版本

Apache Shiro < 1.2.4

1.1.3 漏洞原理

  Apache Shiro框架提供了记住我的功能（RememberMe），用户登录成功后会生成经过加密并编码的cookie。cookie的key为RememberMe，cookie的值是经过相关信息进行序列化，然后使用AES加密（对称），最后再使用Base64编码处理。服务端在接收cookie时：

检索RememberMe Cookie的值
Base 64解码
AES解密（加密密钥硬编码）
进行反序列化操作（未过滤处理）
攻击者可以使用Shiro的默认密钥构造恶意序列化对象进行编码来伪造用户的Cookie，服务端反序列化时触发漏洞，从而执行命令。</