当前位置：首页 > news >正文

Shiro-550 动调分析与密钥正确性判断

news 来源：原创 2025/8/14 7:29:32

一、Shiro 简介

Apache Shiro是一个开源安全框架，用于构建 Java 应用程序，提供身份验证、授权、加密和会话管理等功能。

二、Shiro-550（CVE-2016-4437）

1、漏洞原理

Shiro 在用户登陆时提供可选项 RememberMe，若勾选则下次登陆会携带 cookie 中的 remember me 字段发起请求，就不需要重新输入用户名和密码，用户登录成功后会生成经过 AES 加密和 base64 编码的 cookie。攻击者可以使用 Shiro 的默认密钥构造恶意序列化对象进行编码来伪造用户的 cookie，服务端反序列化时触发漏洞，从而实现恶意代码执行。

AES 是对称加密，加解密是相同的密钥，Shiro 1.2.4 及之前的版本中，AES 加密的密钥默认硬编码是写在代码中的，我们便可使用公开密钥进行爆破。

2、环境搭建

简单的 Shiro Web 应用项目用的是 phith0n 师傅的：https://github.com/phith0n/JavaThings/tree/master/shirodemohttps://github.com/phith0n/JavaThings/tree/master/shirodemo

我用的 IDEA 来运行，当然你自己需要安装配置好 JDK、Tomcat 等

用户名和密码是：

root
secret

3、基本测试

我们勾选上 Remember me 进行登录，使用 burpsuite 抓包

响应包中包含特征字段：

rememberMe=deleteMerememberMe

在已经以记住我的方式登录后，后续的所有请求中 Cookie 都包含 rememberMe 字段，这个字段就是我们反序列化的利用点，但是我们可以看到，它的值是密文的形式存在的，我们就需要找到正确的密钥，对我们构造的 payload 进行加密后再传给 rememberMe 字段，从而让它解密后在反序列化时触发恶意代码执行。

4、漏洞利用

直接使用默认密钥进行检测，也可以爆破密钥，都会发现密钥就是：

kPH+bIxk5D2deZiIxcaaaA==

尝试命令执行，没有问题

5、源码分析

因为我们利用的点是 Cookie 里的 rememberMe 字段，因此我们搜一下 Cookie 相关的类和方法。

这里我们找的是 CookieRememberMeManager 类：

在这个类下面有一个叫 getCookie() 的方法

在这里下断点，动态调试

burpsuite 发包

进去后，我们来到了 getRememberedSerializedIdentity() 方法

往下走，可以看到我们 cookie 中 rememberMe 的值传给了一个名为 base64 的变量

  if ("deleteMe".equals(base64))

先判断传入的内容是不是等于 "deleteMe"，显然不等于

base64 = this.ensurePadding(base64);

接下来使用 ensurePadding 方法确保 base64 编码字符串的填充正确

之后对传入内容进行 base64 解密，解密结果作为返回值

将返回值存储在字节数组 bytes 中

之后调用 convertBytesToPrincipals() 函数，bytes 作为第一个参数传入

进函数去看看

如果 getCipherService() 返回非 null ，表示加密服务存在，就对字节数组 bytes 进行解密，再调用 deserialize() 函数，将解密后的字节数据反序列化成 Java 对象（PrincipalCollection 对象）。

我们来详细看一下这个加密服务：

使用的是 AES 的 CBC 模式加密，填充模式为 PKCS5Padding

跟进去看一下解密函数

decrypt() 函数有两个参数，第一个是 encrypted ，即前面的字节数组 bytes，也就是 base64 解密后的内容，第二个是 getDecryptionCipherKey() 函数，跟进看看：

该函数会返回一个 decryptionCipherKey

看看这个 decryptionCipherKey，发现它是一个变量

看看谁调用了它，首先是这个 setDecryptionCipherKey() 调用了

再看看谁调用了 setDecryptionCipherKey() ，发现是 setCipherKey() 调用了

继续看谁调用了 setCipherKey()，发现是 AbstractRememberMeManager() 方法

该方法里面有一个常量 DEFAULT_CIPHER_KEY_BYTES

其值为固定值，即 kPH+bIxk5D2deZiIxcaaaA== 经过base64解密的值

理清调用流程后，我们发现 decryptionCipherKey 其实就是默认密钥：即 kPH+bIxk5D2deZiIxcaaaA== 经过 base64 解码的值。

密钥值作为 getDecryptionCipherKey() 函数的返回值，作为第二个参数传入到 decrypt() 函数，对前面的字节数组 bytes 进行 AES 解密。

但是 AES 解密除了密钥还需要一个偏移量 IV，也在 decrypt() 函数里：

可以看到 iv = [ 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0 ] 即 16 个字节全是 0

解密完成后，调用 deserialize 函数进行反序列化

跟进看看

反序列化调用 readObject() 位置

至此，我们理清了 cookie 的 rememberMe 内容传入后解密的整个过程，即：

cookie密文-> base64 解码 -> AES 解密（CBC 模式，PKCS5Padding，默认密钥 kPH+bIxk5D2deZiIxcaaaA== ，偏移量 IV 这里全是 0) -> 反序列化

首先在 CookieRememberMeManager.getRememberedSerializedIdentity 中进行 base64 解码，然后调用 AbstractRememberMeManager.convertBytesToPrincipals 进行 AES 解密和反序列化。

三、密钥正确性判断

代码中，当捕获到异常会调用 onRememberedPrincipalFailure 方法

跟进，会找到一个叫 removeFrom() 的方法：

当传入的 cookie 在解密或者反序列化失败时，就会触发这个方法，在 HTTP 响应中添加一个 Set-Cookie 头部，并且带上 deleteMe 字段。

对于正确的 key，回显不会存在 Set-Cookie：rememberMe=deleteMe 字段

对于不正确的 key，回显会出现 Set-Cookie：rememberMe=deleteMe 字段

四、小结

Shiro-550 的根本原因：Shiro 1.2.4 及之前的版本中，AES加密的密钥默认硬编码在代码里，Shiro 1.2.4 以上版本官方移除了代码中的默认密钥，要求开发者自己设置，如果开发者没有设置，则默认动态生成，降低了固定密钥泄漏的风险。

对于漏洞的利用，我们反着代码的处理过程构造 poc 即可：

构造序列化后的 payload -> AES 加密 -> base64 加密 -> 传递给 cookie

Shiro-550 动调分析与密钥正确性判断

一、Shiro 简介 Apache Shiro是一个开源安全框架，用于构建 Java 应用程序，提供身份验证、授权、加密和会话管理等功能。二、Shiro-550（CVE-2016-4437） 1、漏洞原理 Shiro 在用户登陆时提供可选项 RememberMe，若勾选…...

编程日记 2025/8/14 7:29:32

Codeforces Educational Round 177 Div. 2 【B题，C待补

B 二分题意样例 5 3 10 3 4 2 1 512 找最右边的L下标即可思路二分最靠右的L端点，R端点取最右端(n*k处)，找到后，答案就是L的位置(pos)，（因为如果pos满足，则pos左边的所有下标都满足代码 const in…...

编程日记 2025/7/31 21:48:25

【Lua语言】Lua语言快速入门

初始Lua Lua是一种轻量小巧的脚本语言，他使用标准C语言编写并以源代码形式开放。这意味着Lua虚拟机可以很方便的嵌入别的程序中，从而为应用程序提供灵活的扩展和定制功能。同时，在目前脚本引擎中，Lua的运行速度占有绝对优势。变…...

编程日记 2025/7/31 1:24:31

Matlab画海洋与大气变量的时间序列并带标记面的三维折线图--来源粉丝

Matlab画带标记面的三维折线图–来源粉丝图片目标图： 图片复现： 图片细节可在代码中更改： 数据构造 clear;clc;close all; % 数据构造 X1 1:8;Y1ones(length(X1),1); X2 X1;Y22*ones(length(X1),1); X3 X1;Y33*ones(length(X1),1); …...

编程日记 2025/8/7 4:58:48

NestJS——多环境配置方案（dotenv、config、@nestjs/config、joi配置校验）

个人简介 👀个人主页： 前端杂货铺 🙋‍♂️学习方向： 主攻前端方向，正逐渐往全干发展 📃个人状态： 研发工程师，现效力于中国工业软件事业 🚀人生格言： 积跬步…...

编程日记 2025/8/8 4:56:55

RAGFlow在Docker中运行Ollama直接运行于主机的基础URL的地址

基础Url http://host.docker.internal:11434...

编程日记 2025/8/11 6:47:37

上图 import os import time import threading import requests import subprocess import importlib import tkinter as tk from tkinter import ttk, messagebox, scrolledtext from concurrent.futures import ThreadPoolExecutor, as_completed from urllib.parse import…...

编程日记 2025/8/9 4:32:19

【MySQL】数据库约束

个人主页：♡喜欢做梦欢迎 👍点赞 ➕关注 ❤️收藏 💬评论目录 ✨一、数据库的约束 🌟二、数据库约束的分类 🌍 1.非空约束（NOT NULL） 1.定义 2.格式 3.示例： 列的信息可…...

编程日记 2025/8/12 19:37:17

Firewalld防火墙

目录 Firewald 防火墙概述 Firewalld 简介 firewalld 与 iptables service的区别 Firewalld 网络区域 Firewalld 防火墙图形配置方法服务选项端口号协议选项源端口选项伪装选项端口转发 ICMP过滤器防火墙的配置运行状态运行时和永久有什么区别 Firewalld 防火墙 firewa…...

编程日记 2025/8/9 19:53:35

使用 TensorFlow 和 Keras 构建 U-Net

U-Net是图像分割领域中最为著名的架构之一。U-Net 因其形状而得名，它是一种全卷积架构，首先将图像收缩，然后将其扩展为输出结果。虽然这种收缩路径构建了一个学习特征的层次结构，但跳过连接有助于在扩展路径中将这些特征转换回相关…...

编程日记 2025/7/31 21:48:07

【网络篇】TCP vs UDP底层区别+网络编程概念

大家好呀我是浪前今天讲解的是网络篇的第三章：网络编程概念和TCP&UDP的区别网络编程概念TCP和UDP的区别跨主机通信:网络编程插座：网络编程的本质： 网络编程的重要概念：客户端和服务器： 客户端和服务器的交互模…...

编程日记 2025/8/8 16:51:49

如何保存服务器mysql数据库的数据到本地文件

打开mysql命令行如图1 图1 mysql命令行修改文件保存路径。在mysql安装目录下，找到my.ini文件，找到secure-file-priv变量配置的地方，修改对应的值，然后重启mysql，此时把文件放到指定路径，再执行导入导出…...

编程日记 2025/8/10 22:32:47

Flutter学习滚动组件（2）：ListView进阶使用

目录前言：一、实现复杂的ListView列表：1.1 Item布局封装1.2 ListView的使用1.3 增加分割线二、实现ListView下拉刷新：三、实现上拉加载更多：四、实现下拉刷新、上拉加载更多：五、ListView滚动方向和控制：…...

编程日记 2025/8/8 10:24:00

linux oracle 19c 静默安装

oracle数据库有个比较很抓瞎的事情，不同的版本搭建的大致流程是一样的，但是在实操细节上会有不同，比如操作的脚本位置和配置项等等，这些会变，所以需要时常积累不同版本的文档这里有一点要说明，之所以使用…...

编程日记 2025/8/11 0:41:18

中间件--ClickHouse-11--部署示例（Linux宿主机部署，Docker容器部署）

一、Linux宿主机部署 1、环境准备操作系统：推荐使用 CentOS 7/8 或 Ubuntu 18.04/20.04。硬件要求： 至少 2 核 CPU 和 4GB 内存。足够的磁盘空间（根据数据量评估）。CPU需支持SSE4.2指令集（可通过以下命令检查&#…...

编程日记 2025/8/6 6:49:49

AI调试工具有哪些？

一、深度学习框架专用调试工具 TensorBoard • 功能：实时监控训练指标（损失值、准确率）、可视化神经网络结构、分析参数分布和梯度信息 • 适用框架：TensorFlow、PyTorch（通过插件） • 特点：支持…...

编程日记 2025/8/11 16:01:03

Warcraft Logs [Classic] [WCL] BOSS ID query

Warcraft Logs [Classic] [WCL] BOSS ID query 所有副本BOSSID查询 https://wowpedia.fandom.com/wiki/DungeonEncounterID#Retail IDNameMapInstanceIDPatch227High Interrogator GerstahnBlackrock Depths230228Lord RoccorBlackrock Depths230229Houndmaster GrebmarBlackro…...

编程日记 2025/8/13 10:22:15

MySQL——事务

一、什么是事务？ 事务（Transaction） 是数据库操作的最小逻辑单元，它由一组不可分割的SQL操作组成。事务的核心目标是确保多个操作要么全部成功，要么全部失败，从而维护数据的完整性。例如，银行转…...

编程日记 2025/8/7 4:57:18

spring Ai---向量知识库(一)

在一些垂直领域以及公司内部信息相关或者实时性相关的大模型应用，就无法直接使用chatGPT。这个时候，向量知识库就进入了。通过坐标向量最接近的即为匹配相关答案。向量模型定义：将文档向量化，保证内容越相似的文本，…...

编程日记 2025/8/8 7:36:00

MACOS 上的快捷指令怎么用，有哪些分享资源可以用

一、快捷指令的基本概念与历史快捷指令（Shortcuts）是苹果生态中的自动化工具，最初以第三方应用Workflow（2014年推出）的形式出现，2017年被苹果收购后更名为Shortcuts，并深度集成到iOS、iPadOS和macOS系统中。从macOS Mojave（10.14）开始，快捷指令正式登陆Mac平台，并…...

编程日记 2025/8/11 8:26:49

最长子序列长度（LIS）--个数遍历的二分+贪心优化

B3637 最长上升子序列 - 洛谷 #include<bits/stdc.h> #include<string> using namespace std; #define N 100011 typedef long long ll; typedef pair<int,int> pii; int n; int g[N]; int dp[N]; int ma0; int main() { cin>>n; memset(g,0x3f,sizeo…...

编程日记 2025/8/4 1:56:01

RenderStage::runCameraSetUp

文章目录 RTTosg::Camera::_bufferAttachmentMapRenderStage::BufferComponent和RenderStage::_bufferAttachmentMapCamera::attach(BufferComponent buffer, GLenum internalFormat)Camera::attach(BufferComponent buffer, osg::Texture* texture.....Camera::attach(BufferC…...

编程日记 2025/8/12 0:50:46

突破速率瓶颈：毫米波技术如何推动 5G 网络迈向极限？

突破速率瓶颈：毫米波技术如何推动 5G 网络迈向极限？ 引言 5G 网络的普及，已经让我们告别了“加载中”时代，实现了更快的数据传输、更低的延迟和更高的设备连接密度。而在 5G 技术的核心中，毫米波（mmWave&…...

编程日记 2025/8/6 15:57:13

前端面试真题集合（一）

一、Vue的响应式原理 Vue的响应式系统通过数据劫持和依赖追踪实现，核心流程如下：数据劫持 • Vue 2.x：使用Object.defineProperty递归遍历数据对象，将属性转换为getter/setter，拦截属性的读取和修改操作。 • Vue 3.x：改用Proxy代理对象，支持动态属性添加和数组变化监听…...

编程日记 2025/8/8 8:18:07

聊聊Spring AI Alibaba的ElasticsearchDocumentReader

序本文主要研究一下Spring AI Alibaba的ElasticsearchDocumentReader ElasticsearchDocumentReader community/document-readers/spring-ai-alibaba-starter-document-reader-elasticsearch/src/main/java/com/alibaba/cloud/ai/document/reader/es/ElasticsearchDocumentR…...

编程日记 2025/8/2 16:17:18

【网络技术_域名解析DNS】三、DNS 中间件实践应用与优化策略

一、DNS 中间件在典型行业的实践应用 1.1 金融行业：保障交易安全与服务稳定金融行业对网络服务的安全性和稳定性要求极高，DNS 中间件在此领域发挥着不可替代的作用。以某银行线上支付系统为例，在 CentOS 7 环境下部署 DNS 中间件时&…...

编程日记 2025/8/14 1:25:29

Node.js 异步I/O与事件循环深度优化

Node.js 的核心魅力在于其异步、非阻塞I/O模型，这使得它在处理高并发、I/O密集型应用（如Web服务器、API网关、实时通信服务）时表现出色。然而，这种强大的能力并非凭空而来，它深深植根于其独特的**事件循环（…...

编程日记 2025/8/14 5:41:35

npm 常用操作和配置

一、npm 核心操作 1. 初始化项目 npm init # 交互式创建 package.json npm init -y # 跳过提问，直接生成默认 package.json2. 安装依赖 npm install <package> # 安装包到本地 node_modules（生产依赖） npm in…...

编程日记 2025/8/13 21:25:40

嵌入式芯片中的低功耗模式内容细讲

电源域与运行级别概述电源域（Power Domain） 核心域（Core Domain）：包括 CPU 核心和关键架构模块（如 NVIC、CPU 内核寄存器）。外设域（Peripheral Domain）：…...

编程日记 2025/8/11 11:17:39

React-请勿在循环或者条件语句中使用hooks

这是React Hooks的首要规则，这是因为React Hooks 是以单向循环链表的形式存储，即是有序的。循环是为了从最后一个节点移到一个节点的时候，只需通过next一步就可以拿到第一个节点，而不需要一层层回溯。React Hooks的执行&#xff0…...

编程日记 2025/8/1 0:08:28

React-memo (useMemo, useCallback)

在react中，当我们setState之后，若值发生变化，则会重新render当前组件以及其子组件 (默认情况下)，在必要的时候，我可使用memo (class组件则对应shouldComponentUpdate、PureComponent)进行优化，来减少无效渲…...

编程日记 2025/8/6 2:01:51

点云数据处理开源C++方案

一、主流开源库对比库名称特点适用场景开源协议活跃度PCL功能最全，算法丰富科研、工业级应用BSD★★★★★Open3D现代API，支持Python绑定快速开发、深度学习MIT★★★★☆CGAL计算几何算法强大网格处理、高级几何运算GPL/LGPL★★★☆☆PDAL专注于点云…...

编程日记 2025/8/13 15:58:28

android测试依赖

Android 项目中常用的测试相关库 1. androidx.arch.core:core-testing:2.2.0 作用： 提供与 Android Architecture Components（如 LiveData、ViewModel）相关的测试工具。主要用于测试基于 LiveData 的异步操作。常见功能： 即时…...

编程日记 2025/8/9 17:02:46

Gradle与Idea整合

文章目录 1. Groovy 简介2. Groovy 安装[非必须]3. 在idea中创建java工程 1. Groovy 简介在某种程度上，Groovy可以被视为Java的一种脚本化改良版,Groovy也是运行在JVM上，它可以很好地与Java代码及其相关库进行交互操作。它是一种成熟的面向对象编程语言…...

编程日记 2025/8/12 16:48:16

【数据结构】励志大厂版·初阶（复习+刷题）单链表

前引：此篇文章作为小编复习的记录，将快速回忆单链表的知识点，讲解单链表增删查找的实现，每个细节之处要注意的地方，解释为何这样设计。文章末尾包含了单链表算法题， 同样解释详细，借助题目再次巩…...

编程日记 2025/8/9 1:17:05

前端面试宝典---参数解构+默认值的面试题

重点要义对于函数参数要解构，且参数有默认值的，一律用Object.assign的思路去合并参。看不懂这句话没关系，看下面的例子\ 例子1 function fn ({ x 1, y } { y: 10 }) {console.log(x, y) } fn() // 1 10没有传递实参，你就把{ …...

编程日记 2025/8/10 0:42:22

【开发心得】筑梦上海：项目风云录（16）

目录代码反面案例李青与诺基亚的兴衰并行项目下的利益纠葛与团队协作未完待续。。。今天分享的是一个反面案例，也算是一个避坑指南了。代码反面案例今天分享的代码是一个反面案例，当时由于项目人员变动频繁，经常是新人看不太懂旧…...

编程日记 2025/8/12 18:23:57

Neovim插件深度解析：mcphub.nvim如何用MCP协议重构开发体验

在AI与工具链深度融合的今天，Neovim 作为现代开发者的生产力工具，正通过插件生态不断突破边界。mcphub.nvim 作为一款基于 MCP（Model Context Protocol）协议的插件，重新定义了Neovim与智能工具的交互方式。它不仅简化了MCP服务器的集成与管理，更通过直观的UI和生态整合，…...

编程日记 2025/8/13 18:43:36

Qt UDP 通信的详细实现步骤和示例代码

在 Qt 中实现 UDP 通信主要使用 QUdpSocket 类。以下是 UDP 通信的详细实现步骤和示例代码： 一、UDP 通信基础无连接协议：不需要建立持久连接数据报模式：以独立数据包（datagram）形式发送适用场景：实时性要…...

编程日记 2025/8/5 9:58:57

(二)Trae 配置C++ 编译

Trae配置c编译零 CMake 编译C0.1 下载安装0.2 安装设置0.3 三种编译方式(见下文一二三)0.4 调试 (见下文四) 一使用MSVC方式编译1.1 安装编译环境1.2安装插件1.3 设置文件二使用GCC方式2.1 安装编译环境2.1.1下载:[MinGw](https://gcc-mcf.lhmouse.com/)2.1.2安装:(以…...

编程日记 2025/8/10 11:24:25

动态规划算法的欢乐密码(一)：斐波那契数模型

专栏：算法的魔法世界个人主页：手握风云目录一、动态规划二、例题讲解 2.1. 第 N 个泰波那契数 2.2. 三步问题 2.3. 使用最小花费爬楼梯 2.4. 解码方法一、动态规划动态规划是一种将复杂问题分解为更小的子问题，并利用子问题的解来…...

编程日记 2025/8/14 1:58:33

【FreeRTOS进阶】优先级翻转现象详解及解决方案

【FreeRTOS进阶】优先级翻转现象详解及解决方案接下来我们聊聊优先级翻转这个经典问题。这个问题在实时系统中经常出现，尤其是在任务较多的场景下，而且问题定位起来比较麻烦。什么是优先级翻转？ 优先级翻转的核心定义很简单：…...

编程日记 2025/8/13 4:04:51

解决 IntelliJ IDEA 项目启动时端口冲突问题

1.问题 Description: The Tomcat connector configured to listen on port 8082 failed to start. The port may already be in use or the connector may be misconfigured. Action: Verify the connectors configuration, identify and stop any process thats listening…...

编程日记 2025/8/11 2:24:49