Shiro反序列化

wanTh3flag

2025-07-31 (Updated: 2025-08-03)

javasec

Apache Shiro 是一个强大且灵活的 Java 安全框架，用于处理 身份认证、授权、密码加密、会话管理 等功能。

在分析Shiro反序列化的过程中，我会更偏向于对项目源码的解读，也是借此机会学一下这个框架的一些基础逻辑

Shiro反序列化主要分为shiro550和shiro721

在shiro版本小于1.2.5时，被称作shiro-550，shiro反序列化的产生原因主要是因为rememberMe内容，原因是AES密钥被硬编码在shiro源码中，导致在cookie中的rememberMe可以被插入恶意代码造成代码执行。在1.2.5之后，shiro使用了随机密钥，又因为padding oracle attack导致反序列化，被称作shiro-721。

参考文章：

Shiro反序列化

深入探究Shiro反序列化漏洞

环境搭建

jdk版本这里是1.8.0_65

1、从github中下载shiro1.2.4

https://codeload.github.com/apache/shiro/zip/refs/tags/shiro-root-1.2.4

解压后用IDEA打开，并修改pom.xml的内容，把jstl依赖版本改为1.2，没有的话自己加一个

Shiro 1.2.4 的内部依赖或运行机制与 JSTL 的 1.2 版本兼容性最好

<dependency>
    <groupId>javax.servlet</groupId>
    <artifactId>jstl</artifactId>
    <version>1.2</version>
    <scope>runtime</scope>
</dependency>

但是这里的话源码一直下不下来，得配置maven代理，或者换maven的版本为3.8.1之前的。从 Maven 3.8.1 开始，默认禁止了通过不安全的 http:// 仓库下载依赖。

然后需要配置一个tomcat服务器，具体配置的话看https://blog.csdn.net/qq_36389060/article/details/114895961或者https://blog.csdn.net/m0_48170265/article/details/129073985

我这里是jdk1.8的，所以需要将pom中的版本换一下

1	<jdk.version>1.8</jdk.version>

2、安装配置Tomcat服务器

Tomcat下载官网：https://tomcat.apache.org/，按着第二个链接安装一下，

DOS窗口输入startup.bat回车后访问8080端口看看是否安装成功

这样的话就算成功了

然后我们配置tomcat服务器

编辑配置的时候让我们的项目用tomcat去运行

部署的工件选samples-web:war

配置好后启动服务器

到此环境就算搭建好了

Shiro550

影响版本

shiro <= 1.2.4

特征判断

响应包中包含字段remember=deleteMe字段

漏洞介绍

在shiro版本小于1.2.5时，被称作shiro-550。shiro-550主要是由shiro的rememberMe内容反序列化导致的命令执行漏洞，造成的原因是默认加密密钥是硬编码在shiro源码中，任何有权访问源代码的人都可以知道默认加密密钥。于是攻击者可以创建一个恶意对象，对其进行序列化、编码，然后将其作为cookie的rememberMe字段内容发送，Shiro 将对其解码和反序列化，导致服务器运行一些恶意代码。

shiro登录逻辑分析

换成调试模式运行服务器，访问login.jsp来到登录界面

尝试登录一下，记得选上Remember Me选项

我们先找一下登录逻辑处理，先看看src/main/webapp/WEB-INF/web.xml，web.xml 文件是 Java Web 项目的部署描述文件

看看里面关于配置shiro的核心过滤器

<filter>
    <filter-name>ShiroFilter</filter-name>
    <filter-class>org.apache.shiro.web.servlet.ShiroFilter</filter-class>
</filter>

<filter-mapping>
    <filter-name>ShiroFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

这里定义了一个ShiroFilter过滤器，并且使用的是自带的ShiroFilter类，url-pattern="/*" 表示该过滤器拦截 所有请求

然后我们看一下shiro.ini文件，这里定义了Shiro的登录逻辑，权限规则，拦截路径

设置全局登录页面为login.jsp，当用户访问需要认证的资源但未登录的时候会重定向到该页面
/login.jsp = authc使用authc过滤器处理登录请求

authc 是 Apache Shiro 中的一个 内置过滤器（Filter），该过滤器主要是执行登录请求处理，判断是否登录授权访问等功能

接下来我们看一下在登录页面发起post表单请求后的处理逻辑

1、当我们在登录界面发起请求的时候，shiro会启动自身的安全过滤器链，也就是调用AbstractShiroFilter#doFilterInternal()方法

我们直接来到AbstractShiroFilter类，断点打在doFilterInternal方法，登录的时候会进入这个方法。

2、然后该方法会给我们找到匹配的过滤器，也就是之前说的authc，对应的类就是org.apache.shiro.web.filter.authc.FormAuthenticationFilter类，他是authc的处理逻辑的核心入口。

3、调用FormAuthenticationFilter#onAccessDenied()方法

分析一下代码

protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
    if (isLoginRequest(request, response)) {//判断当前请求是否是shiro.loginUrl
        if (isLoginSubmission(request, response)) {//判断当前请求是否是POST 请求并且包含表单字段，也就是登录操作
            if (log.isTraceEnabled()) {
                log.trace("Login submission detected.  Attempting to execute login.");
            }
            return executeLogin(request, response);//执行登录认证逻辑函数
        } else {
            if (log.isTraceEnabled()) {
                log.trace("Login page view.");
            }
            //allow them to see the login page ;)
            return true;//如果不是POST请求就放行，显示登录页面
        }
    } else {
        if (log.isTraceEnabled()) {
            log.trace("Attempting to access a path which requires authentication.  Forwarding to the " +
                    "Authentication url [" + getLoginUrl() + "]");
        }

        saveRequestAndRedirectToLogin(request, response);//如果是访问的其他受保护的资源，就返回false
        return false;
    }
}

因为我们是提交表单的POST请求，所以会调用executeLogin函数，我们跟进看看

这里主要是从请求中创建一个令牌token，生成一个 AuthenticationToken 对象，登录成功后触发onLoginSuccess方法返回true。

4、真正的登录认证函数：org.apache.shiro.subject.support.DelegatingSubject#login()

5、然后一直来到DefaultSecurityManager类找到rememberMeSuccessfulLogin函数，这是用于处理Remember Me功能的部分

先调用AbstractRememberMeManager类的onSuccessfulLogin方法，这个方法是处理登录成功逻辑的

重点在于第一行代码

1	forgetIdentity(subject);

这个功能的话在于清除旧的"记住我"的身份，我们跟进这来到CookieRememberMeManager的forgetIdentity方法

然后继续跟进里面的forgetIdentity方法

这里的话会获取cookie字段然后删除该字段，我们跟进一下

分析一下代码

    public void removeFrom(HttpServletRequest request, HttpServletResponse response) {
        String name = getName();//获取Cookie的名称，这里是rememberMe
        String value = DELETED_COOKIE_VALUE;//设置一个值未deleteMe
        String comment = null; //don't need to add extra size to the response - comments are irrelevant for deletions
        String domain = getDomain();
        String path = calculatePath(request);
        int maxAge = 0; //always zero for deletion
        int version = getVersion();
        boolean secure = isSecure();
        boolean httpOnly = false; //no need to add the extra text, plus the value 'deleteMe' is not sensitive at all

        addCookieHeader(response, name, value, comment, domain, path, maxAge, version, secure, httpOnly);
//调用方法设置set-Cookie头，并将上面的rememberMe=deleteMe加入到响应头
        log.trace("Removed '{}' cookie by setting maxAge=0", name);
    }

这里的话就是返回一个Set-Cookie响应头，将rememberMe设置为deleteMe，我们继续往下走，回到onSuccessfulLogin方法

检查登录的时候是否选择了“记住我”选项，之前我们传的时候就选上了，所以直接步入rememberIdentity函数

protected void rememberIdentity(Subject subject, PrincipalCollection accountPrincipals) {
    byte[] bytes = convertPrincipalsToBytes(accountPrincipals);
    rememberSerializedIdentity(subject, bytes);
}

这里的话会将身份信息转化成字节数组，并传入rememberSerializedIdentity方法中。