【网络安全】CVE漏洞分析以及复现
myzbx 2025-01-24 13:04 18 浏览
漏洞详情
Shiro 在路径控制的时候，未能对传入的 url 编码进行 decode 解码，导致攻击者可以绕过过滤器，访问被过滤的路径。
漏洞影响版本
Shiro 1.0.0-incubating
对应 Maven Repo 里面也有
【一一帮助安全学习，以下所有资源关注我，私信回复[资料]无偿领取一一】
①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析
环境搭建
这个比 Shiro550、Shiro721 要增加一些东西，首先看 pom.xml 这个配置文件，因为漏洞是 shiro 1.0.0 版本的
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
<version>1.0.0-incubating</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-web</artifactId>
<version>1.0.0-incubating</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-spring</artifactId>
<version>1.0.0-incubating</version>
</dependency>
调整 ShiroConfig.java，增加代码如下
filterMap.put("/user/add","perms[user:add]");
filterMap.put("/user/update","perms[user:update]");
filterMap.put("/secret.html","authc,roles[admin]");
filterMap.put("/user/*", "authc");
filterMap.put("/**","anon")
HTML 文件 ———— static/secret.html
<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org">
<head>
<meta charset="UTF-8">
<title>首页</title>
</head>
<body>
<div>
<h1>秘密界面</h1>
</div>
</body>
</html>
这时候访问secret.html会得到一个 302 的重定向
用 PoC 打能够打通
- 至此环境搭建完毕，当然搭建环境的时候可能会遇到如下这个报错
unable to correctly extract the initialization vector or ciphertext.
这个问题的解决方法是清除浏览器缓存即可。
漏洞复现与分析
先说 PoC，未标准化路径造成/./越权访问
把断点下在org.apache.shiro.web.filter.mgt.PathMatchingFilterChainResolver#getChain()处，开始调试
getChain()方法会先将所有的 URI 保存到变量名为i$的迭代器当中，然后逐一循环，进行pathMatches()的匹配。在循环两次之后，我们来看处理/./secret.html的代码。跟进pathMatches()方法
跟进pathMatcher.matches()，再跟进，最终是来到org.apache.shiro.util.AntPathMatcher#doMatch()，这个方法做了具体的实现业务。
首先判断目前请求的 URL 开头与目标 URL 的开头是否都为/，如果不是则return false；往下，调用了StringUtils.tokenizeToStringArray()方法，之前的/secret.html转化成了["secret.html"]这个数组，/./secret.html转换成了[".","secret.html"]
继续往下，判断了patDir中是否存在**字符，如果存在就break；继续往下走，判断 html 的目录与当前请求的目录是否相同，因为我们请求被拆分出来是[".","secret.html"]，.和secret.html不相同，会返回 false
由于其不能与我们之前定的所有 URL 匹配，导致进入了 /**的匹配范围，这里之前我们设定的访问方式是/**,anon无需认证即可访问，由此造成越权
基于这个逻辑，/;/secret.html的 bypass 方式也是合理的，可能一些其他特殊字符也是可以的，前提是对请求并不造成影响，像..，#这类字符就会产生问题。
报错字符报错信息如下
Invalid character found in the request target [/\/secret.html ]. The valid characters are defined in RFC 7230 and RFC 3986
漏洞分析至此结束
漏洞修复
Shiro在 Commit更新中添加了标准化路径函数。 对 /、//、/./、/../等进行了处理。
相关推荐
- C语言备忘录 - 09. 数组与字符串（c语言数组字符串长度）
-
C语言支持数组数据结构，它可以存储一个固定大小的相同类型元素的顺序集合。数组都是由连续的内存位置组成。最低的地址对应第一个元素，最高的地址对应最后一个元素。一、数组定义/*定义一个一维数组数...
- Java 读取 xml 文件的五种方式（java读取xml工具类）
-
1、Java读取xml文件的五种方式在Java中读取XML文件有多种方法，这里列出五种常见的方式：DOM解析器（DocumentObjectModel）：DOM是处理XML文...
- 如何获取一个APP的所有接口API和参数签名信息?
-
先给出所需的工具：步骤工具/技术抓包Charles、Fiddler、Wireshark、tcpdump反编译Jadx、JEB、Apktool动态调试Frida、IDAPro、Unidbg/Unico...
- 编辑距离算法详解:Levenshtein Distance算法
-
算法基本原理：假设我们可以使用d[i,j]个步骤（可以使用一个二维数组保存这个值），表示将串s[1…i]转换为串t[1…j]所需要的最少步骤个数，那么，在最基本的情况下，即在i等...
- RTCP协议详解(SR、RR、SDES、BYE、APP、NACK、TCC、PLI、SLI)
-
RTCP协议规范中定义了五种类型的RTCP包：接收方报告（RR）、发送方报告（SR）、源描述（SDES）、成员管理（BYE）和应用程序定义（APP）。SR:payload...
- javascript实现获取中文汉字拼音首字母
-
今天分享一个日常开发中可能会用到的一个小功能，简单说就是输入中文汉字可转换得到中文汉字拼音首字母。当然我可写不出这样的功能，源码来自于其他民间大神的分享，博主在此记录一下功能demo，方便日后复用，同...
- 记一次前端逻辑绕过登录到内网挖掘
-
前言在测试一个学校网站的时候发现一个未授权访问内网系统，但是这个未授权并不是接口啥的，而是对前端js的审计和调试发现的漏洞，这里给大家分享一下这次的漏洞的过程文章中涉及的敏感信息均已做打码处理，文...
- Node.js 是怎么找到模块的?（node.js有哪些模块）
-
大家好，我是前端西瓜哥，今天我们来看看Node.js模块查找的原理。模块种类模块有三种来源。核心模块：Node.js内置的包。比如http、fs、path；自定义模块：NPM包。比如axi...
- 细节确定成败!全网最详细的xxs夸脚本攻击以及测试方法(上)
-
XSS全称是CrossSiteScripting也是跨站脚本，他也分为三种类型存储型，反射型，DOM型。当目标网站目标用户浏览器渲染HTML文档的过程中，出现了不被预期的脚本指令并执行时，XSS就...
- 简单易懂的KMP字符串匹配算法（实现kmp字符串匹配）
-
什么是KMPKMP算法是Knuth、Morris和Pratt三人设计的线性时间字符串匹配算法。算法的核心思想是尽可能地利用已知信息，减少尝试匹配的次数，从而降低时间复杂度。要想彻底地弄懂KMP算法，需...
- golang标准库每日一库之strings（golang 字符串操作）
-
以下为Go语言strings包的深度解析，涵盖字符串切割、替换、查找等核心操作及高效处理技巧：一、基础字符串操作1.字符串切割（Split）函数作用描述示例strings.Split(s,s...
- 开源轻量级BT下载器qBittorrent 5.1.1发布:改进Wayland会话
-
IT之家6月24日消息，科技媒体9to5Linux昨日（6月23日）发布博文，报道称开源轻量级BT下载器qBittorrent发布5.1.1版本更新，主要改进支持Lin...
- 晨雾轻散时!2 道 JS 面试题细解，静享知识慢时光
-
清晨的雾气渐渐散去，阳光透过纱窗洒在桌前，泡一杯温热的蜂蜜水，让我们在这宁静的氛围里，以轻松的节奏聊聊两道JavaScript高频面试题。就像在晨光中散步，不急不躁地探索知识，让学习成为一种治愈的...
- JS 写正则表达式，判断是否为手机号
-
以下是使用JavaScript写正则表达式，判断一个字符串是否为手机号的示例代码：在上述代码中，我们定义了一个isPhoneNumber函数，该函数接收一个字符串作为参数，使用正则表达式判断该...
- 不用任何 js 库，纯前端导出数据到 Excel / CSV 文件就简单几行代码
-
最近实现的导出数据为表格的需求，不需要工具库，也不要后端实现，mark一下。js导出excel表格最近工作中又遇到了将表格数据导出为excel表格的需求，我第一时间想到的是之前我的网站上推...
- 一周热门
- 最近发表
-
- C语言备忘录 - 09. 数组与字符串（c语言数组字符串长度）
- Java 读取 xml 文件的五种方式（java读取xml工具类）
- 如何获取一个APP的所有接口API和参数签名信息?
- 编辑距离算法详解:Levenshtein Distance算法
- RTCP协议详解(SR、RR、SDES、BYE、APP、NACK、TCC、PLI、SLI)
- javascript实现获取中文汉字拼音首字母
- 记一次前端逻辑绕过登录到内网挖掘
- Node.js 是怎么找到模块的?（node.js有哪些模块）
- 细节确定成败!全网最详细的xxs夸脚本攻击以及测试方法(上)
- 简单易懂的KMP字符串匹配算法（实现kmp字符串匹配）
- 标签列表
-
- HTML 简介 (30)
- HTML 响应式设计 (31)
- HTML URL 编码 (32)
- HTML Web 服务器 (31)
- HTML 表单属性 (32)
- HTML 音频 (31)
- HTML5 支持 (33)
- HTML API (36)
- HTML 总结 (32)
- HTML 全局属性 (32)
- HTML 事件 (31)
- HTML 画布 (32)
- HTTP 方法 (30)
- 键盘快捷键 (30)
- CSS 语法 (35)
- CSS 选择器 (30)
- CSS 轮廓宽度 (31)
- CSS 谷歌字体 (33)
- CSS 链接 (31)
- CSS 定位 (31)
- CSS 图片库 (32)
- CSS 图像精灵 (31)
- SVG 文本 (32)
- 时钟启动 (33)
- HTML 游戏 (34)