Apache shiro 反序列化漏洞解决方案-星辰信安

一、反序列化漏洞介绍

序列化：把对象转换为字符串或者字节流的过程。反序列化：把字符串或者字节流恢复为对象的过程。反序列化漏洞的产生原理，即黑客通过构造恶意的序列化数据，从而控制应用在反序列化过程中需要调用的类方法，最终实现任意方法调用。如果在这些方法中有命令执行的方法，黑客就可以在服务器上执行任意的命令。

二、产生原因

shiro提供了记住我（RememberMe）的功能，即可以在关闭浏览器的情况下，下次打开时还能记住你是谁，无需登录即可访问。 shiro默认使用了CookieRememberMeManager来管理RememberMe cookie, 其处理cookie的流程是： 1：生成cookie：序列化 => 使用密钥进行AES加密 => Base64编码，最后返回客户端 remebreme Cookie； 2：识别cookie：得到rememberMe的cookie值=>Base64解码=>使用密钥进行AES解密=>反序列化。这个通过观察shiro1.2.4版本的源代码可以发现,如果不指定密钥，shiro会默认一个初始化密钥，该密钥是被硬编码在代码中，由于代码是开源的，攻击者很容易找到该密钥，并且伪造cookie发起攻击。

总结：漏洞产生的根本原因是密钥泄露，比如使用网上公开的密钥，也会存在这个问题。

三、解决方案

方案1：升级shiro至最新版本1.7.1

        <dependency>
            <groupId>org.apache.shiro</groupId>
            <artifactId>shiro-spring</artifactId>
            <version>1.7.1</version>
        </dependency>

密钥硬编码问题存在于1.2.4版本及以下。通过观察最新版本1.7.1的源代码发现,如果不指定密钥shiro会初始化一个随机密钥，由于密钥是随机生成的，所以攻击者没办法猜测到密钥。注意这是在使用shiro默认密钥的情况下，如果应用修改了默认密钥则需要保证该密钥不是公开的，并妥善保管防止泄露。

81cc6ea93c162017

测试1.2.4版本升级至1.7.1版本可以互相兼容，无需修改原有代码。

存在的问题：后台重启后，cookie解密失败，导致remembeMe功能失效。

原因：由于重启后，会重新生成一个随机密钥,导致重启前生成的密钥和重启后的密钥发生变化导致cookie解密失败。

elegate RememberMeManager instance of type [org.apache.shiro.web.mgt.CookieRememberMeManager] threw an exception during getRememberedPrincipals().org.apache.shiro.crypto.CryptoException: Unable to execute 'doFinal' with cipher instance [javax.crypto.Cipher@1ac73e7].

方案2：保持shiro版本不变<=1.2.4,修改rememberMe默认密钥

1.shiro采用xml方式配置（spring+springMVC+xx）

<!-- 定义Shiro安全管理配置 -->
    <bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
        <!-- 指定Shiro验证用户登录的类为自定义的Realm（若有多个Realm，可用[realms]属性代替） -->
        <property name="realm" ref="systemAuthorizingRealm" />
        <property name="sessionManager" ref="sessionManager" />
        <property name="cacheManager" ref="shiroCacheManager" />
        <!--注入rememberMe cookie管理器-->
    <property name="rememberMeManager" ref="rememberMeManager"/>
    </bean>

<!-- rememberMe管理器 -->
<bean id="rememberMeManager" class="org.apache.shiro.web.mgt.CookieRememberMeManager">
<!-- 密钥 调用ShiroCustomAESKeyUtil.getKey()生成 -->
     <property name="cipherKey" value="#{T(org.apache.shiro.codec.Base64).decode('WVYw571OG4BehqT7I6J3mA==')}"/>
</bean>

2.springboot 项目

//将自己的验证方式加入容器
    public MyShiroRealm myShiroRealm() {
        MyShiroRealm myShiroRealm = new MyShiroRealm();
        return myShiroRealm;
    }
    //权限管理，配置主要是Realm的管理认证
    @Bean
    public SecurityManager securityManager() {
        DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
        securityManager.setRealm(myShiroRealm());
        // 记住我
        securityManager.setRememberMeManager(rememberMeManager());
        return securityManager;
    }

    /**
     * 记住我
     */
    public CookieRememberMeManager rememberMeManager() {
        CookieRememberMeManager cookieRememberMeManager = new CookieRememberMeManager();
        //密钥 调用ShiroCustomAESKeyUtil.getKey()生成
        String cipherKey= "+h+zZswHRTUerMhr9Dkm2g==";
    cookieRememberMeManager.setCipherKey(org.apache.shiro.codec.Base64.decode(cipherKey));
        return cookieRememberMeManager;
    }

密钥生成工具

import org.apache.shiro.crypto.AesCipherService;

import java.security.Key;

public class ShiroCustomAESKeyUtil {
    public static String getKey(){
        AesCipherService aesCipherService = new AesCipherService();
        Key key = aesCipherService.generateNewKey();
        return java.util.Base64.getEncoder().encodeToString(key.getEncoded());
    }
}