Apache Shiro 身份验证绕过漏洞复现(CVE-2020-11989)

た入场券 2024-04-07 10:47 90阅读 0赞

#### **0x00 漏洞简述** ####

Apache Shiro 1.5.3之前的版本中，当将Apache Shiro与Spring动态控制器一起使用时，精心编制的请求可能会导致绕过身份验证,如果直接访问 /shiro/admin/page ，会返回302跳转要求登录，访问 /;/shiro/admin/page , 就能直接绕过Shiro权限验证，访问到/admin路由中的信息

#### **0x01 漏洞影响** ####

Apache Shiro 1.5.3之前的版本

Spring 框架中只使用 Shiro 鉴权

#### **0x02 环境搭建** ####

1.下载项目到本地https://github.com/l3yx/springboot-shiro

2.通过idea编辑器对其进行编译成war包，然后讲放入到tomcat下的webapps目录中，运行即可。

这里已编译好war包：

https://github.com/backlion/demo/blob/master/shiro.war

#### **0x03 漏洞复现** ####

1.权限配置如下，其中/admin下的路由需要登录才能访问

@Bean
    ShiroFilterFactoryBean shiroFilterFactoryBean(){
          
        ShiroFilterFactoryBean bean = new ShiroFilterFactoryBean();
        bean.setSecurityManager(securityManager());
        bean.setLoginUrl("/login");
        bean.setSuccessUrl("/index");
        bean.setUnauthorizedUrl("/unauthorizedurl");
        Map<String, String> map = new LinkedHashMap<>();
        map.put("/doLogin", "anon");
        map.put("/admin/*", "authc");
        bean.setFilterChainDefinitionMap(map);
        return  bean;
    }
    ---
    @GetMapping("/admin/page")
    public String admin() {
          
        return "admin page";
    }

2.maven打包项目为shiro.war，部署于Tomcat。该漏洞成功利用存在下面两个条件

1.  应用不能部署根目录root目录下，也就是需要context-path，server.servlet.context-path=/shiro，如果为根目录则context-path为空，就会被CVE-2020-1957的patch将URL格式化，值得注意的是若Shiro版本小于1.5.2的话那么该条件就不需要。
2.  Spring控制器中没有另外的权限校验代码

3.如果直接访问 /shiro/admin/page ，会返回302跳转要求登录

![48da148bde6a791a97eaaf1c41f868e9.png][]

4.但是访问 /;/shiro/admin/page , 就能直接绕过Shiro权限验证，访问到/admin路由中的信息

![e5721b2e78c10b6d86e99c8820b6a4bf.png][]

#### **0x04 漏洞分析** ####

由于Shiro的权限校验是通过判断url匹配来做的，如果能找到Shiro获取的url与Web框架处理url不一致的情况就能造成权限绕过。Shiro中对于URL的获取及匹配在org.apache.shiro.web.filter.mgt.PathMatchingFilterChainResolver\#getChain

以访问/;/shiro/admin/page举例，通过getPathWithinApplication函数得到的路径为/

![85c59ddbdc6743d4db718b7ede557acb.jpeg][]

跟入该函数的处理逻辑

org.apache.shiro.web.util.WebUtils\#getPathWithinApplication

![34a85167c01f032db44a2d2e07a702ab.jpeg][]

可以看到 org.apache.shiro.web.util.WebUtils\#getRequestUri 获取到的是/

![e2900c3bd2e38bc81002d66da8826e43.jpeg][]

这里分别通过getContextPath() getServletPath() getPathInfo()获取并拼接得到/;/test//admin/page，传入后decodeAndCleanUriString变成了/,

org.apache.shiro.web.util.WebUtils\#decodeAndCleanUriString

![c11bec1b1327e974f4ee1dcbf565bc73.jpeg][]

在decodeAndCleanUriString，会根据ascii为59的字符也就是;进行URL的截断，所以最终返回了/

回到最开始的/;/shiro/admin/page请求，该request请求会进入spring中，spring处理url函数如下

org.springframework.web.util.UrlPathHelper\#getPathWithinServletMapping

![0f7c397e04377224634445fbf39fc6c7.jpeg][]

![53b921e5a47e4d6184fcb39a9d638437.png][]

在getPathWithinApplication处理下是能正确获取到context-path与路由，最终经过getPathWithinServletMapping函数格式化处理后，得到最终路径为/admin/page，所以我们可以正常访问到该页面

![22ff05f80c10c3104c8a79b7a6e46e51.png][]

因此总结来说就是当URL进入到Tomcat时，Tomcat判断/;shiro/admin/page ,为shiro应用下的/admin/page路由，进入到Shiro时被;截断被认作为/,再进入Spring时又被正确处理为test应用下的/admin/page路由，最后导致shiro的权限绕过。

#### **0x05 漏洞修复** ####

升级到最新版,官方已在新版本中修复了该漏洞

#### **0x06 参考文献** ####

[https://l3yx.github.io/2020/06/30/Shiro-%E6%9D%83%E9%99%90%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E-CVE-2020-11989/][https_l3yx.github.io_2020_06_30_Shiro-_E6_9D_83_E9_99_90_E7_BB_95_E8_BF_87_E6_BC_8F_E6_B4_9E-CVE-2020-11989]

[https://xz.aliyun.com/t/8223][https_xz.aliyun.com_t_8223]

[48da148bde6a791a97eaaf1c41f868e9.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/6f8eadaffb23407f820d99c2f2564397.png
[e5721b2e78c10b6d86e99c8820b6a4bf.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/f385d063fabd464d9033f84a12fccbcc.png
[85c59ddbdc6743d4db718b7ede557acb.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/45635c6df527493f95d92d7204e43f63.jpeg
[34a85167c01f032db44a2d2e07a702ab.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d6c68c5b5fac41e4bd988fbf1a80a52d.jpeg
[e2900c3bd2e38bc81002d66da8826e43.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/01a0703a605741399379f6118887dc7a.jpeg
[c11bec1b1327e974f4ee1dcbf565bc73.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/2793525807f24ab7bcf88404a133b836.jpeg
[0f7c397e04377224634445fbf39fc6c7.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/ce6f046f96544330a6e6050c04fa8817.jpeg
[53b921e5a47e4d6184fcb39a9d638437.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/15510ff877b5454f8ad1f009d81a8566.png
[22ff05f80c10c3104c8a79b7a6e46e51.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/19b4a5aedc874041bab1a571ff204978.png
[https_l3yx.github.io_2020_06_30_Shiro-_E6_9D_83_E9_99_90_E7_BB_95_E8_BF_87_E6_BC_8F_E6_B4_9E-CVE-2020-11989]: https://l3yx.github.io/2020/06/30/Shiro-%E6%9D%83%E9%99%90%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E-CVE-2020-11989/
[https_xz.aliyun.com_t_8223]: https://xz.aliyun.com/t/8223